Alerta de 3,3 millones de mensajes atribuidos a INBI School of English sin verificación

Un sitio especializado en amenazas digitales atribuyó este 28 de octubre de 2026 al actor conocido como 'libreboot2016' la divulgación de un supuesto conjunto de 3.337.394 mensajes de WhatsApp y 171.967 números telefónicos vinculados a INBI School of English, una red privada de escuelas de inglés conversacional en México. La publicación, sin embargo, advierte que no pudo verificar la autenticidad, el origen, la integridad ni la disponibilidad actual de los datos. El señalamiento adquiere relevancia pública porque involucra a una institución educativa que maneja información de contacto de estudiantes y porque, de confirmarse, expondría a miles de personas a riesgos de phishing, suplantación y spam. Pero la evidencia disponible no permite sostener que los registros sean reales ni que provengan de los sistemas de la escuela.

La alerta atribuye la divulgación a 'libreboot2016' y menciona números con prefijos +52 y +1, aunque no desglosa cuántos corresponden a cada país ni cuántos registros podrían ser duplicados o incompletos. La fuente describe campos que incluyen el cuerpo del mensaje, marcas de tiempo, remitente, destinatario, identificadores del servicio de mensajería, conteo de medios y metadatos de archivos. Esa estructura se asemeja a una exportación organizada de una plataforma de mensajería, pero por sí sola no demuestra quién generó los registros ni cómo se obtuvieron. La captura disponible, según la descripción, muestra espejos para descargar el conjunto, pero no reproduce enlaces ni exhibe conversaciones individuales.

El aviso clasifica la posible recolección de información de repositorios como una técnica inferida y aclara que el material no revela cómo se habrían obtenido los datos ni establece que alguien hubiera vulnerado los sistemas de INBI. Tampoco aparecen indicadores técnicos como un Tox ID, un alias de Telegram, una dirección IP atribuida al actor o un hash de malware. La ausencia de esos elementos no confirma ni desmiente la alegación, pero limita los elementos visibles para correlacionarla con otras investigaciones.

La lectura

El caso ilustra un patrón recurrente en la difusión de supuestas filtraciones: el volumen de las cifras —millones de mensajes, cientos de miles de teléfonos— genera alarma antes de que exista verificación independiente. La fuente original no presenta una muestra comprobable, documentación sobre la procedencia ni confirmación de la organización afectada. Sin esos elementos, no es posible establecer el alcance real de una eventual exposición ni el número de personas afectadas. Una gran cantidad de registros no equivale automáticamente a una cantidad igual de personas expuestas, y los mensajes podrían incluir múltiples registros por conversación.

La infraestructura de datos en juego es privada: INBI School of English controla los registros de sus estudiantes y contactos, y su eventual filtración dependería de las medidas de seguridad y gestión de accesos que haya implementado. El aviso identifica como dominio de la entidad a inbi.mx, pero precisa que esa referencia sirve para reconocer a la organización y no para señalar una infraestructura maliciosa. En México, la protección de datos personales está tutelada por la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que obliga a las empresas a salvaguardar la información y notificar incidentes de seguridad. Si los datos fueran auténticos, la escuela tendría responsabilidades legales frente a los titulares y ante la autoridad regulatoria.

El riesgo concreto para las personas dependería de la autenticidad y el contenido del conjunto, así como de la posibilidad de asociar cada número con una persona o conversación. La fuente plantea como consecuencias posibles el phishing dirigido, la suplantación, el spam y la ingeniería social, sin afirmar que alguno de esos usos ya haya ocurrido. Los números telefónicos podrían facilitar intentos de contacto engañosos si un tercero los utiliza para hacerse pasar por la institución o por alguien conocido. La misma cautela se aplica al número de mensajes: una gran cantidad de registros no mide por sí sola el daño potencial.

Qué sigue

La decisión pública inmediata corresponde a INBI School of English: confirmar o desmentir la autenticidad del conjunto, informar si sus sistemas fueron vulnerados y, en su caso, notificar a los titulares de los datos y a la autoridad reguladora. Hasta ahora, la institución no ha emitido una declaración pública sobre el señalamiento. También queda pendiente que la fuente original o investigadores independientes aporten evidencia verificable sobre el origen y la integridad de los registros. Sin esa confirmación, el caso permanece como una alegación no comprobada que, sin embargo, ya expone la necesidad de que las instituciones educativas refuercen la protección de los datos de contacto y comunicaciones de su comunidad.