471,2 millones de notificaciones a víctimas de data breach en los primeros 6 meses de 2026. Más que la población de Estados Unidos. Más que los 278,8 millones registrados en todo 2025. Según el informe H1 2026 del ITRC, presentado por James E. Lee el 22 de julio, si apilaras todas esas notificaciones, una sobre otra, la pila llegaría al espacio. Leímos el informe y la señal es clara: el problema no es solo la escala, es la opacidad.
La escala: tres incidentes, 80% del total
Los números del informe H1 2026 del ITRC son absurdos en concentración. Un único incidente generó 58% del total: Instructure, la empresa detrás de Canvas, la plataforma educativa utilizada por miles de escuelas y universidades, 275 millones de notificaciones. Under Armour contribuyó con 72,7 millones más. SoundCloud con 29,8 millones.
Tres incidentes. 377,5 millones de notificaciones. 80% del total. Según el informe H1 2026 del ITRC, 10,3% de los comprometimientos generó 83,4% de todas las notificaciones. El problema es focal, no difuso. Esto cambia la estrategia de defensa: la contención del blast radius importa más que la cobertura uniforme.
Importante: 471 millones es el número de notificaciones, no de individuos únicos. Una misma persona puede recibir múltiples notificaciones cuando sus datos están en varios servicios comprometidos. La métrica mide volumen de exposición, no población afectada.
La crisis de transparencia: 24% en 2026, casi 100% en 2020
El número más alarmante del informe no es el de notificaciones, es el de transparencia. Según el informe H1 2026 del ITRC, solo 24% de las notificaciones emitidas en el primer semestre de 2026 incluía detalles sobre el ataque. El vector. La causa raíz. En 2020, ese número estaba cerca del 100%. Cada año cae. Cada año sabemos menos sobre lo que está ocurriendo.
Los datos que tenemos son preocupantes. Los datos que no tenemos son peores. Cuando Tech86 implementa programas de seguridad para clientes corporativos, el primer diagnóstico casi siempre revela la misma falla: las empresas detectan el ataque. El vector permanece desconocido. La notificación se envió porque la ley lo exige. El detalle del vector no se incluyó porque la ley no lo exige.
El ITRC lo encuadra como riesgo de ecosistema, no solo como falla legal. Cuando una empresa no documenta el vector, todo el mercado queda ciego ante el mismo ataque. El atacante reutiliza la misma técnica en cientos de otras víctimas porque nadie compartió el indicador.
Insider wrongdoing multiplicado por 7 y zero-days al límite
Según el informe H1 2026 del ITRC, el insider wrongdoing se multiplicó por 7: 21 incidentes en 6 meses, contra 3 en todo 2025. El informe cita específicamente empleados despedidos del sector tech reclutados por estados nación para sabotear infraestructura interna. No es la amenaza interna convencional, es un adversario reclutado, con acceso previo, conocimiento de la arquitectura y motivación geopolítica.
Los zero-days también presionan: 14 en el semestre, casi igualando los 17 de todo el año anterior. La ventana entre el descubrimiento de la vulnerabilidad y el patch explotable se acorta. Cuando se combinan con el insider wrongdoing, la kill chain se acorta y el dwell time se vuelve más difícil de detectar.
Supply chain como multiplicador estructural
Según el informe H1 2026 del ITRC, la supply chain sigue siendo un multiplicador. 38 incidentes iniciales generaron 280,6 millones de notificaciones e impactaron 206 entidades. Un ataque, doscientas víctimas. La matemática es simple: comprometer a un proveedor es atacar a todos los downstream de una vez.
Esto explica la concentración. Cuando 10,3% de los comprometimientos genera 83,4% de las notificaciones, el problema no es difuso, es focal. Los caminos de ataque se concentran en pocas superficies: vendors de la supply chain, identidades privilegiadas, endpoints de acceso remoto. Zero Trust y least privilege access reducen el blast radius exactamente en esos puntos.
La proyección: 3.600 incidentes, cuarto año por encima de 3.000
El informe proyecta que 2026 puede superar los 3.600 incidentes. El récord actual es 3.322, de 2025. Si la proyección se confirma, será el cuarto año consecutivo por encima de 3.000. La tendencia no es de estabilización, es de aceleración.
Según el ITRC, las recomendaciones para organizaciones son: Zero Trust, acceso de mínimo privilegio, verificación de proveedores en tiempo real y transparencia voluntaria. Para individuos: congelar el crédito, migrar a passkeys, activar MFA. Nada de esto es novedad. Lo que cambia es la urgencia, y el hecho de que la transparencia voluntaria, no el mínimo legal, es lo que separa un ecosistema que aprende de uno que repite los mismos ataques.
Conclusión: la pila sigue creciendo y nadie puede verla
La pila sigue creciendo. Y la mayor parte nadie puede verla. 471,2 millones de notificaciones en 6 meses, pero solo 24% con detalle del vector. Las empresas detectan el ataque, envían la notificación y omiten lo que importa. El mínimo legal fue cumplido. El ecosistema quedó ciego.
En Tech86, ayudamos a las empresas corporativas a construir programas de seguridad y respuesta a incidentes que van más allá del mínimo legal: documentando el vector, conteniendo el blast radius con Zero Trust, monitoreando el insider wrongdoing con controles de offboarding y tratando la supply chain como riesgo de primera clase. La transparencia no es un pasivo legal. Es una inversión de seguridad.