7 millones de carnets de conducir robados: la mayor brecha de datos de 2026

¿Qué ha ocurrido?

El 10 de julio de 2026, la aseguradora de automóviles AssuranceAmerica comenzó a notificar a casi 7 millones de personas que sus datos personales y números de carnet de conducir fueron robados en un ciberataque. Según el aviso de brecha presentado ante las fiscalías de Indiana y Maine, los hackers accedieron a sus sistemas el 16 de marzo de 2026, un día antes de que la empresa detectara actividad sospechosa. La investigación forense concluyó el 15 de junio, pero los afectados no fueron informados hasta casi cuatro meses después del ataque.

Los datos sustraídos incluyen nombres, información de contacto, datos de la póliza, información del vehículo y, crucialmente, números de carnet de conducir. Fuentes adicionales indican que también pudieron verse comprometidos números de Seguro Social e identificación fiscal para una parte de los afectados.

AssuranceAmerica, fundada en 1998 y con sede en Atlanta, suministra seguros de coche y de alquiler a más de 9.500 agentes en más de una docena de estados americanos, principalmente en el sureste de EE.UU. La compañía opera en 14 estados, incluyendo Alabama, Florida, Georgia y Texas. La brecha afecta a 6,99 millones de personas, lo que la convierte en la mayor filtración de números de carnet de conducir de la historia.

¿Por qué es importante?

El carnet de conducir es un documento de identidad de alto valor en el mercado negro. A diferencia de una contraseña o un número de tarjeta, no se puede cambiar. Está vinculado a datos físicos (altura, peso, fecha de nacimiento) y es utilizado como verificación principal en múltiples trámites, desde alquiler de coches hasta solicitudes de préstamos. Con esta información, un atacante puede suplantar a la víctima de forma persistente.

Este incidente es la mayor brecha de datos de carnets de conducir reportada hasta la fecha, superando casos anteriores como el de Marriott o Equifax en términos de este tipo específico de dato. Para contextualizar, la brecha de Equifax en 2017 afectó a 147 millones de personas, pero solo expuso números de Seguro Social, no carnets de conducir. La brecha de Marriott en 2018 afectó a 500 millones de huéspedes, pero los datos de identidad eran limitados. En cambio, esta brecha se centra en un documento de identidad físico de difícil reemplazo.

Además, el retraso en la notificación (casi cuatro meses) es preocupante y podría violar plazos legales en varios estados. Por ejemplo, en Texas las empresas deben notificar en un plazo de 60 días, mientras que en Florida es de 30 días. AssuranceAmerica no ha emitido una declaración pública sobre las razones del retraso, pero expertos en ciberseguridad señalan que los tiempos de investigación forense suelen ser largos, aunque la compañía podría haber informado antes a los afectados de forma preliminar.

Consecuencias para los afectados

• Riesgo de fraude de identidad: Los números de carnet pueden usarse para abrir cuentas, solicitar créditos o alquilar vehículos a nombre de la víctima. Según un estudio de Javelin Strategy & Research, el fraude de identidad costó a los consumidores estadounidenses 56 mil millones de dólares en 2025, y los documentos de identidad robados son un vector clave.
• Imposibilidad de renovación: A diferencia de una tarjeta de crédito, el número de carnet no se puede cambiar fácilmente; solo algunos estados como California y Nueva York permiten solicitar un nuevo número tras una brecha, pero el proceso es engorroso y no siempre garantiza la eliminación del anterior.
• Daños a largo plazo: La suplantación puede afectar el historial crediticio y requerir años para resolverse. La Comisión Federal de Comercio (FTC) recomienda a las víctimas de robo de identidad presentar una denuncia y monitorear sus informes crediticios durante al menos un año.

AssuranceAmerica ofrece servicios de monitoreo de crédito e identidad por 12 meses a través de Kroll, pero los expertos consideran insuficiente dado el valor permanente del carnet. Comparado con otras brechas, como la de T-Mobile en 2021 que ofreció 2 años de protección, la oferta de AssuranceAmerica es modesta. Además, el monitoreo de crédito no detecta el uso fraudulento del carnet de conducir en contextos no crediticios, como alquiler de vehículos o verificaciones de antecedentes.

Qué deben saber los lectores

Si eres cliente de AssuranceAmerica en los 14 estados donde opera (principalmente sureste de EE.UU.), verifica si has recibido una notificación. Activa el monitoreo de identidad, congela tu crédito y reporta cualquier actividad sospechosa. Considera solicitar un nuevo número de carnet en tu DMV local si es posible; algunos estados como Georgia y Florida permiten este trámite tras una brecha, aunque puede requerir una declaración jurada.

Este caso subraya la necesidad de que las empresas mejoren sus tiempos de detección y notificación, y que los reguladores exijan plazos más estrictos para informar a los afectados. La brecha de AssuranceAmerica también destaca la vulnerabilidad del sector de seguros, que maneja grandes volúmenes de datos sensibles. Según el informe de IBM sobre el costo de las brechas de datos de 2025, el sector financiero y de seguros tiene un costo promedio por brecha de 5.85 millones de dólares, pero el daño reputacional puede ser mayor. AssuranceAmerica enfrenta ahora posibles demandas colectivas y multas regulatorias.

Para los usuarios, la lección es clara: ante cualquier brecha que involucre documentos de identidad, la acción inmediata es crucial. No esperes a que la empresa tome medidas; congela tu crédito, monitorea tus cuentas y, si es posible, cambia tu número de carnet. La prevención y la respuesta rápida son las únicas defensas contra un robo de identidad que puede durar años.