The Seven Deadly Sins reivindica un ataque a Canva tras una brecha en un tercero ya confirmada por la prensa
El grupo The Seven Deadly Sins reivindica haber atacado a Canva, la plataforma australiana de diseño en línea. Varios medios ya habían informado en septiembre de 2026 de una brecha a través de un tercero que expuso datos de clientes empresariales vinculados a más de 420 organizaciones, lo que vuelve a poner el foco en el riesgo de la cadena de suministro.
Qué ha pasado
El 15 de octubre de 2026, el grupo The Seven Deadly Sins incluyó a Canva entre sus víctimas, según el propio grupo. La empresa, con sede en Australia y del sector tecnológico, ya figuraba en la prensa por un incidente previo.
Entre el 18 y el 23 de septiembre de 2026, varios medios informaron de una brecha relacionada con Canva. Daily Sabah y Türkiye Today publicaron el 18 de septiembre que la brecha, originada en un tercero, afectaba a datos vinculados a 424 organizaciones en Turquía. Capital Brief informó el 21 de septiembre de que se habían expuesto datos de clientes empresariales de Canva en una brecha de un tercero, y teiss señaló el 23 de septiembre que Canva había comunicado una brecha que afectaba a más de 420 organizaciones.
La prensa confirma, por tanto, que existió un incidente. Sin embargo, la autoría por parte de The Seven Deadly Sins se basa únicamente en su reivindicación, publicada semanas después de esas informaciones. Los datos disponibles no detallan qué tipo de información se vio comprometida ni si hubo exigencia de rescate.
Quién es el grupo
The Seven Deadly Sins es un grupo que publica reivindicaciones de ataques. La información verificada sobre sus métodos, herramientas o forma de acceso inicial es limitada. Que la reivindicación llegue después de la cobertura mediática aconseja prudencia hasta que haya más datos que vinculen al grupo con la brecha descrita por la prensa.
Qué pueden hacer las organizaciones
El incidente afecta sobre todo a clientes empresariales de una plataforma SaaS muy extendida, y su origen en un tercero muestra que el riesgo no depende solo de la seguridad del proveedor principal.
- Revisar si la organización ha recibido comunicaciones de Canva sobre el incidente y seguir sus indicaciones.
- Inventariar qué datos y documentos se almacenan en la plataforma y quién tiene acceso.
- Revisar las integraciones con inicio de sesión único y las aplicaciones conectadas, y rotar credenciales o tokens si hay dudas.
- Exigir autenticación multifactor en todas las cuentas corporativas de servicios en la nube.
- Alertar a la plantilla sobre posibles correos de phishing que aprovechen el incidente.
- Incluir en los contratos con proveedores SaaS cláusulas de notificación rápida de brechas, también las originadas en sus propios terceros.
Fuentes
- Capital Brief: Canva enterprise customer data exposed in third-party breach
- teiss: News - Canva reports data breach impacting more than 420 organisations
- Daily Sabah: Canva breach affects data linked to 424 organizations in Türkiye
- Türkiye Today: Third-party data breach linked to Canva affects 424 organizations in Türkiye
Sobre el grupo: The Seven Deadly Sins
Las reivindicaciones las publican los propios grupos criminales y no están verificadas hasta que la organización o la prensa las confirman. Los nombres de personas físicas (autónomos, profesionales individuales) se anonimizan conforme al RGPD. Nunca enlazamos a sitios de filtración ni a datos robados. Para solicitar la retirada o anonimización de una entrada, contacte con el administrador del sitio.