OnlyFans y la crisis de privacidad: qué pasó y qué pedir

Se trata de un riesgo masivo para la privacidad: se ofreció en foros una base de datos que el atacante dijo contener hasta 340 millones de registros vinculados a OnlyFans, aunque la compañía negó un hackeo directo y los investigadores sospechan de una agregación de filtraciones previas (según EconomíaSustentable, 25/5/2026; iProfesional, 2/6/2026).

¿Qué pasó y qué sabemos?

El aviso en la 'deep web' del 25 de mayo hablaba de 340 millones de registros a la venta y encendió alarmas (EconomíaSustentable, 25/5/2026). La muestra inicial que circuló sólo incluía diez registros completos verificables, y el autor admitió haber cruzado filtraciones antiguas de servicios como X, Instagram y Spotify con perfiles públicos de OnlyFans en vez de haber comprometido los servidores de la plataforma.

A esto se suma otro dato preocupante: especialistas reportaron bases expuestas con más de 149 millones de credenciales obtenidas por infostealers, lo que facilita el acceso a cuentas sin vulnerar servidores centrales (informes citados por iProfesional, 2/6/2026). OnlyFans tiene hoy alrededor de 170 millones de usuarios y más de 2 millones de creadores, cifras que explican por qué la agregación de datos tiene impacto masivo (iProfesional, 2/6/2026).

¿Cómo me afecta esto en Argentina?

La dimensión humana del problema es central: en Argentina la crisis económica empujó a mucha gente hacia estas plataformas como alternativa de ingreso, y una filtración que relacione una identidad pública con una cuenta privada puede destruir reputaciones y trabajos. La plataforma exige verificación de identidad con documentos y una selfie para creadores; esos archivos son datos biométricos y, por ley, están calificados como sensibles (Ley 25.326).

Además, el problema no es sólo si se hackean servidores. Existen herramientas como los 'infostealers' y el 'credential stuffing' que multiplican el riesgo: si una contraseña usada en Spotify se repite en OnlyFans, una brecha menor en el primer servicio afecta al segundo (iProfesional, 2/6/2026). Y no es nuevo: fallas documentadas en 2021, como el acceso prolongado a Zendesk por exempleados (Motherboard, octubre 2021), muestran que los riesgos operativos persisten en 2026.

Qué hacer: pasos prácticos para usuarios y creadores

Recomendamos medidas concretas y realizables. Primero, no repetir contraseñas entre servicios y usar un gestor de contraseñas; si no querés pagar, hay opciones gratuitas seguras. Activar la autenticación de dos factores en todas las cuentas y revisar periódicamente sesiones activas y dispositivos conectados.

Para creadores: separar identidades y métodos de pago cuando sea posible; no subir material íntimo a galerías sincronizadas con la nube; eliminar metadatos de fotos y videos antes de subirlos; y cambiar claves ante cualquier sospecha o cada tres meses. Ojo que si vivís en Argentina podés exigir la eliminación o actualización de datos biométricos en términos que la ley prevé (Ley 25.326).

¿Quién debe responder y qué debería exigir el Estado?

Las responsabilidades están en varios niveles: la plataforma como responsable del tratamiento, los proveedores de verificación (por ejemplo Shufti Pro, que según informes puede conservar datos por plazos amplios) y los proveedores de soporte y atención al cliente. Todos deben garantizar trazabilidad en accesos, registros de auditoría y políticas claras de retención. La normativa local obliga a tratar los datos biométricos como sensibles; por eso exigimos transparencia y trazabilidad en la conservación y el acceso a esos archivos.

En la práctica, el Estado y los reguladores deberían requerir auditorías independientes periódicas, límites explícitos de retención para datos biométricos, y mecanismos efectivos para que la persona solicite y obtenga la eliminación en plazos razonables. Apoyamos la autonomía del usuario para controlar sus datos y reclamamos que las plataformas y sus proveedores publiquen informes de transparencia y registros de acceso verificables.

Al final, no es sólo un problema técnico: es un problema de derechos. La tecnología debe diseñarse para minimizar daños y devolver control a las personas; hasta entonces, sigamos los pasos prácticos y exijamos trazabilidad a quien guarda nuestras identidades.