TeamUpdraft ha comunicado a sus usuarios un incidente de seguridad detectado durante el fin de semana del 17 y 18 de octubre, cuando identificó un acceso no autorizado a su sitio web, teamupdraft.com. La compañía asegura que su equipo actuó de inmediato y trabajó durante la noche para contener la intrusión, cerrar la vía de entrada y sustituir las claves y credenciales que pudieran haberse visto comprometidas.
La advertencia más urgente se dirige a quienes utilizan UpdraftCentral en la nube, ya que sus claves de conexión permiten enviar órdenes a los sitios web vinculados. La empresa pide que los administradores revisen directamente cada instalación de WordPress sin esperar a la actualización de emergencia que está preparando. La recomendación también afecta a conexiones antiguas, incluso cuando el usuario no recuerde haberlas configurado.
En el comunicado remitido a las cuentas registradas, firmado por Joe Whittaker, responsable de Marketing y Atención al Cliente de TeamUpdraft, la empresa señala que cree que los intrusos accedieron a su base de datos de clientes. Esta contiene nombres, direcciones de correo electrónico, domicilios de facturación e historial de pedidos, además de contraseñas almacenadas mediante hash, ajustes de autenticación de dos factores y claves de conexión de UpdraftCentral, UpdraftVault y UpdraftClone.
TeamUpdraft precisa que las contraseñas nunca se guardan en texto legible y que no almacena números completos de tarjetas bancarias, puesto que los pagos se gestionan mediante Stripe y PayPal. También afirma que el propio complemento UpdraftPlus y sus descargas no resultaron afectados.
Como parte de la respuesta, la compañía ha cerrado todas las sesiones y restablecido la seguridad de acceso a su web. Ha desconectado todos los sitios de UpdraftVault, emitido nuevas credenciales y reemplazado las claves de cliente de UpdraftClone. También ha renovado sus claves con los proveedores de pagos y otros servicios conectados, mientras trabaja en una versión de emergencia de UpdraftPlus que desconectará automáticamente las conexiones antiguas de UpdraftCentral.
Revisión urgente de los sitios conectados a UpdraftCentral
Para asegurar los sitios vinculados a UpdraftCentral en la nube, la empresa indica que debe accederse al panel de administración de cada WordPress directamente, sin utilizar UpdraftCentral. Desde allí, hay que abrir Ajustes > UpdraftPlus > Herramientas avanzadas > UpdraftCentral y eliminar la clave de conexión.
La revisión debe incluir las cuentas de usuario y los complementos instalados: TeamUpdraft pide eliminar los administradores y plugins que no se reconozcan, así como cambiar las contraseñas de todas las cuentas con permisos de administración. Si se detecta algún elemento sospechoso, recomienda valorar la restauración de una copia de seguridad anterior al 17 de octubre. Después de estas comprobaciones, el sitio puede volver a conectarse a UpdraftCentral.
Para el conjunto de usuarios de teamupdraft.com, la compañía solicita cambiar la contraseña de la cuenta y escribir la dirección del sitio directamente en el navegador, en lugar de seguir un enlace. Quienes hayan reutilizado esa contraseña en otros servicios deben modificarla también en ellos. Si tenían activada la autenticación de dos factores, deberán restablecerla desde el apartado «Mi cuenta».
El aviso también pide precaución ante correos inesperados que aparenten proceder de TeamUpdraft. La empresa recuerda que nunca solicitará contraseñas ni claves de conexión.
UpdraftVault requiere reconexión para recibir las copias de seguridad
La desconexión preventiva de todos los sitios de UpdraftVault implica que las copias de seguridad no llegarán a ese servicio hasta que cada instalación vuelva a vincularse.
Para recuperar la conexión, los usuarios deben entrar en Ajustes > UpdraftPlus > Ajustes, seleccionar UpdraftVault y pulsar «Conectar» dentro del apartado «¿Ya tienes espacio?». El proceso requiere introducir el correo de la cuenta de teamupdraft.com y la nueva contraseña, guardar los cambios y ejecutar una copia manual para comprobar que el servicio funciona.
En UpdraftClone, todas las claves de cliente han sido sustituidas y las anteriores han dejado de funcionar. Quienes las hubieran compartido con sus propios clientes deberán obtener las nuevas en Mi cuenta > UpdraftClone > Gestión de claves de UpdraftClone y facilitárselas de nuevo.
TeamUpdraft ha señalado que mantendrá la información actualizada en su página sobre el incidente de seguridad de octubre de 2026. Las consultas deberán dirigirse al servicio de soporte desde la cuenta del usuario. La empresa ha enviado esta comunicación a todas las cuentas registradas, incluidas aquellas dadas de baja de sus comunicaciones comerciales, sin modificar sus preferencias de suscripción.
Artículo redactado con asistencia de IA (Ref. APA: OpenAI. (2026). ChatGPT (GPT-6, 19 de octubre)).
Nota de la Fundación: nuestra web, fundacion.informativos.net, estaba conectada a UpdraftCentral y sufrió el 19 de octubre la instalación no autorizada de un plugin. Es un incidente de seguridad relacionado con UpdraftCentral y su fecha coincide con la del aviso de TeamUpdraft; seguimos investigando si hay relación directa. Hemos desconectado la web de UpdraftCentral, la hemos puesto en mantenimiento y la reconstruiremos desde cero antes de volver a abrirla. En ningún momento se han visto comprometidos lo datos de nuestros donantes ni de nuestros lectores. El incidente ha sido ya comunicado al Instituto Nacional de Ciberseguridad (incibe-cert)
