Brecha Ledger Global-e 2026: qué datos se filtraron, riesgos reales para los holders españoles y qué puedes hacer sin litigar

En enero de 2026, muchos usuarios de Ledger en España (y otros países) recibieron una notificación relacionada con un incidente de seguridad en Global-e, el proveedor de e-commerce y logística transfronteriza que Ledger utiliza para procesar pedidos internacionales en Ledger.com.

Poco después, varios holders comenzaron a recibir cartas físicas personalizadas con un código QR que supuestamente servía para “actualizar el dispositivo”. Se trata de un claro intento de phishing físico (quishing) cuyo objetivo es robar la frase de recuperación de 24 palabras.

¿Qué datos se filtraron exactamente?

Según la información oficial publicada por Ledger y Global-e:

Nombre y apellidos
Dirección postal física
Dirección de correo electrónico
Número de teléfono
Detalles del pedido (número de pedido, producto comprado y precio pagado)

Importante:
No se filtraron datos de pago (tarjetas o cuentas bancarias), ni claves privadas, ni la frase de recuperación (seed phrase), ni información del dispositivo Ledger ni del Ledger Live. Los fondos de los usuarios siguen seguros siempre que no se comparta la frase de recuperación.

Este incidente se suma a la conocida brecha de 2020 de Ledger, cuyos datos aún circulan en la dark web. La combinación de ambas filtraciones permite a los delincuentes crear perfiles muy precisos de propietarios de hardware wallets.

Riesgos reales para los holders españoles

El principal peligro no es técnico, sino social: los estafadores ahora saben quién tiene un Ledger y dónde vive. Esto facilita campañas dirigidas como:

Cartas físicas con QR malicioso (el caso que muchos estáis recibiendo).
Emails o mensajes de WhatsApp/Telegram suplantando a Ledger Support.
Intentos de ingeniería social más elaborados (llamadas, amenazas, etc.).

Ledger ha advertido expresamente en su web que nunca enviará cartas físicas ni pedirá escanear QR para actualizar dispositivos.

¿Qué puedes hacer sin necesidad de litigar?

No es obligatorio iniciar un procedimiento judicial (que, aunque posible vía RGPD, suele ofrecer indemnizaciones moderadas por daño moral y requiere tiempo y pruebas). Aquí tienes acciones prácticas y efectivas:

Protección inmediata
- No escanees ningún QR ni introduzcas tus 24 palabras en ningún sitio.
- Guarda la carta (foto del sobre con matasellos + contenido) como prueba.
- Denuncia el intento de estafa en la Policía Nacional (Grupo de Delitos Telemáticos) o Guardia Civil. Es gratuito y genera un documento oficial.
Denuncia administrativa (gratuita o de bajo coste)
- Presenta una denuncia ante la AEPD (Agencia Española de Protección de Datos) por posible infracción del RGPD. Puedes hacerlo online tú mismo o con ayuda de un abogado.
- Esta vía presiona a la empresa y sirve como prueba si en el futuro decides reclamar.
Medidas de higiene digital y física
- Activa alertas de identidad y monitoriza si tus datos aparecen en la dark web (herramientas como Have I Been Pwned).
- Considera medidas de seguridad en el domicilio si sientes preocupación real (cámara en el buzón, etc.).
- Usa siempre canales oficiales de Ledger: solo a través de su aplicación o support.ledger.com.
Consejo clave: Recuerda la regla de oro de Ledger: nunca compartas tus 24 palabras de recuperación con nadie, bajo ninguna circunstancia. Ni por email, ni por teléfono, ni por carta, ni por QR.

En Solvendi Abogados asesoramos a particulares y empresas en derecho criptoactivos, protección de datos en el ecosistema blockchain, prevención de fraudes y responsabilidad de proveedores. Si has recibido una de estas cartas o tienes dudas sobre custodia de activos digitales, fiscalidad crypto o ciberseguridad, puedes contactarnos para una valoración inicial.

¿Has recibido tú una de estas cartas? ¿Quieres que profundicemos en algún aspecto concreto? Déjanos tu comentario o escríbenos en privado.