El 18 de agosto de 2026 aparecieron en internet clips que parecen ser de GTA 6, junto con una imagen que se dice que es el mapa completo del juego, atribuidos a un grupo que se hace llamar CyberLeek. Durante cuatro días consecutivos los clips siguieron llegando hasta sumar seis, algunos con escenas cinemáticas de la propia historia. El juego no se ha lanzado; su fecha anunciada es noviembre de 2026.

Parece una noticia de videojuegos. La lección que encierra no tiene nada que ver con los juegos: uno de los mayores estudios de su sector, un presupuesto de producción enorme, años de trabajo, y el producto llega al público antes del día del lanzamiento por una puerta que nadie vigilaba. Es exactamente lo que ocurre en empresas mucho más pequeñas, solo que con menos ruido.

Qué pasó realmente

  • El material parece auténtico. La señal en la que se basaron los periodistas no fue el análisis de las imágenes, sino la respuesta de la empresa: Rockstar y su empresa matriz Take-Two emitieron avisos de retirada por derechos de autor contra los clips. Las empresas no exigen retirar material falso.
  • La escalada fue gradual. Empezó con jugabilidad corriente y luego aparecieron escenas cinemáticas, lo que llevó a los observadores a concluir que el filtrador tiene una versión jugable y no solo clips grabados.
  • El motivo es declarado y mixto. El grupo publicó exigencias a las editoras de videojuegos sobre lanzamientos digitales y copias físicas, mientras promocionaba a la vez una memecoin dentro de los clips y organizaba una encuesta en la que la gente pagaba con esa moneda para elegir la siguiente filtración.
  • La empresa no conoce el origen. Según un informe de Bloomberg firmado por Jason Schreier, la dirección movilizó a todo el equipo para responder, pero no ha identificado al filtrador y no tiene previsto mover su próximo estreno ni cambiar su estrategia de marketing.

Este último punto es el más importante desde el punto de vista profesional: tras días de investigación, una empresa con estos recursos no sabe decir de dónde salió el archivo. No es una debilidad inusual. Es el resultado natural cuando el número de personas que tienen una copia supera al número de las que se pueden rastrear.

Aplicado a su empresa: ¿cuál es su trabajo aún no lanzado?

Usted no hace videojuegos, pero tiene archivos que le costarían dinero, un contrato o confianza si se hicieran públicos hoy. Los más comunes en el mercado saudí:

  • Ofertas de licitación y precios. Un archivo de oferta antes de abrir los sobres es el documento más sensible de la empresa, y el que más a menudo circula por WhatsApp.
  • Listas de clientes y sus tarifas especiales. El descuento preferente que concedió a una cuenta grande, visto por otra.
  • Un producto o servicio antes de su anuncio. Diseños, precios, fecha de lanzamiento, la campaña ya preparada.
  • Datos de empleados y nóminas. Basta un archivo para alterar internamente una empresa durante meses.
  • Código y datos en el entorno de pruebas (staging). Es lo que con más frecuencia encontramos realmente expuesto cuando revisamos los sistemas de los clientes.

Por dónde se escapan realmente estos archivos

La imagen habitual de una filtración es una intrusión: alguien atravesó el cortafuegos. En la mayoría de los casos la realidad es más simple y más aburrida:

  • Acceso más amplio que la necesidad. Alguien de un departamento que no tiene nada que ver con los precios abre la carpeta de ofertas porque esa carpeta lleva años compartida con todos.
  • Acceso que nunca caducó. Un contratista o antiguo empleado cuya cuenta sigue funcionando, o un enlace compartido que envió hace un año y que todavía abre el archivo.
  • Copias fuera del sistema. Un archivo descargado en un dispositivo personal, reenviado por WhatsApp o subido a una cuenta personal en la nube solo temporalmente.
  • Un entorno de pruebas expuesto. Una copia del sitio o del sistema en un subdominio sin contraseña, a veces indexada por los buscadores y con datos reales dentro.
  • Copias sin identidad. Por eso Rockstar no logra localizar el origen: cuando todas las copias son idénticas, el archivo que se escapó no dice nada de quién lo difundió.

Cinco cosas que hacer esta semana

Nada de esto es un programa de seguridad con presupuesto. Son pequeños pasos administrativos y técnicos cuyo efecto supera su coste:

  • Clasifique antes de proteger. Haga una lista de los diez archivos o carpetas más sensibles de la empresa. No puede protegerlo todo por igual, e intentarlo acaba en no proteger nada. La clasificación de activos y la gestión de accesos son fundamentales en los Controles Esenciales de Ciberseguridad ECC 2-2024 emitidos por la Autoridad Nacional de Ciberseguridad (NCA).
  • Revise quién puede abrir qué. Abra hoy los permisos de sus carpetas sensibles y lea la lista nombre por nombre. La regla es quién lo necesita, no quién podría necesitarlo.
  • Ponga fecha de caducidad a cada acceso. El acceso de contratistas, proveedores y becarios debe terminar automáticamente con el encargo, no por una decisión que alguien recuerde más tarde. Vincule la baja del empleado al cierre de su cuenta el mismo día.
  • Haga que las copias sean rastreables. Ponga una marca de agua con el nombre del destinatario en las propuestas y documentos sensibles, y mantenga un registro de descargas que muestre quién abrió, quién descargó y cuándo. Esto no impide una filtración, pero la convierte de un misterio en un incidente con origen conocido, y su mera existencia disuade.
  • Cierre el entorno de pruebas. Contraseña en la copia de prueba, indexación bloqueada, datos ficticios en lugar de registros reales de clientes. Este único paso cierra la brecha más frecuente que encontramos.

La segunda lección: un plan para el primer día

Los periodistas señalaron que Rockstar dejó de publicar en sus cuentas durante días después de que empezaran las filtraciones. El silencio es una opción comprensible desde el punto de vista legal, pero suele dejar todo el relato en manos de la otra parte.

Lo que importa en la práctica es tener respuestas escritas a tres preguntas antes de necesitarlas. ¿Quién decide escalar y quién habla en nombre de la empresa? ¿Cuáles son los primeros pasos técnicos en las dos primeras horas, es decir, cortar accesos y congelar los registros antes de que se sobrescriban? ¿Y cuándo se notifica a las autoridades, sobre todo si el material filtrado contiene datos personales de clientes o empleados, lo que en Arabia Saudí es una obligación regulatoria y no una elección de comunicación?

Las empresas que gestionan bien los incidentes no son las que nunca sufren uno. Son las que escribieron estas respuestas con calma.

La visión de Origami

Leemos este incidente como la confirmación de algo que decimos en casi todas las revisiones de sistemas: el riesgo principal en la mayoría de las empresas no es una intrusión externa, sino un permiso interno concedido una vez y nunca revisado. El atacante avanzado es raro; la carpeta compartida con todos desde 2021 existe casi en todas partes.

Por eso, cuando construimos un sistema para un cliente, los permisos parten de cero y no de abierto: cada rol ve solo lo que su trabajo requiere, cada acceso temporal lleva fecha de caducidad y cada acción sensible deja rastro en el registro. No es un complemento de seguridad que se vende aparte, es la forma correcta de construir el sistema desde el principio. La diferencia entre hacerlo entonces y adaptarlo después es que lo primero cuesta horas de diseño y lo segundo cuesta lo que ya no se puede recuperar.

Conclusión

No evitará todas las filtraciones. Pero en una sola semana puede saber cuál es su material más sensible, reducir quién llega a él, hacer que cada copia lleve la identidad de su titular y escribir un plan para el primer día. Cuatro pasos que no necesitan presupuesto y que separan a una empresa que sabe quién filtró de otra que busca a oscuras, como le está ocurriendo ahora a un juego que tardó años en hacerse.

Fuentes

  • IGN, del 18 al 21 de agosto de 2026 — cobertura continua de los clips y del mapa, su atribución a CyberLeek, el recuento que llegó a seis y el vínculo con la memecoin.
  • Metro / GameCentral, 19 de agosto de 2026 — las retiradas por derechos de autor de Rockstar como señal de autenticidad, y las exigencias del grupo filtrador.
  • Bloomberg, Jason Schreier, 21 de agosto de 2026 (vía Insider Gaming) — la dirección movilizando a todo el equipo, filtrador no identificado, sin planes de retrasar el próximo estreno.
  • Autoridad Nacional de Ciberseguridad (NCA) — Controles Esenciales de Ciberseguridad ECC 2-2024: clasificación de activos y gestión de identidades y accesos.