Nayax rechaza el rescate exigido por el pirata informático tras el robo de datos de una cuenta en la nube

La empresa israelí de pagos Nayax se negó a pagar un rescate exigido por hackers que robaron registros de transacciones y documentos empresariales de una cuenta en la nube vinculada a una de sus subsidiarias. La compañía, cotizada en Nasdaq y en Tel Aviv, confirmó el 14 de julio que los datos habían sido exfiltrados, seis días después de revelar por primera vez una actividad sospechosa el 8 de julio. El consejo de administración de Nayax decidió no cumplir con las exigencias de extorsión de los atacantes y señaló que pagar no serviría a los intereses a largo plazo de los clientes, socios, empleados o accionistas. Los hackers amenazaron con publicar material presuntamente robado si Nayax no paga antes del 21 de julio. La empresa colabora con las autoridades encargadas de hacer cumplir la ley en Israel y Estados Unidos, aunque no se han divulgado el monto del rescate ni la identidad de los atacantes.

Nayax confirma el contenido y el alcance de los datos robados

La investigación de Nayax determinó que los hackers copiaron una copia de seguridad que contenía documentos escaneados, información relacionada con el negocio y registros de transacciones de pagos. La empresa indicó que los registros de transacciones no incluían nombres de titulares de tarjetas, códigos de seguridad CVV ni información de identificación porque, en general, esos datos no se conservan en sus sistemas. No se ha divulgado el número de transacciones contenidas en la copia de seguridad, las fechas que abarcan los registros ni el número de comerciantes y consumidores afectados.

Una parte significativa de las transacciones afectadas implicó billeteras digitales como Apple Pay y Google Pay, según Nayax. Esos pagos utilizan credenciales tokenizadas en lugar de detalles de tarjeta reutilizables. La empresa reconoció que su revisión del alcance preciso y del contenido completo de los datos robados sigue en curso.

Nayax informó por primera vez del incidente el 8 de julio después de detectar una actividad anómala en una cuenta de computación en la nube asociada a una subsidiaria. La cuenta fue bloqueada después de identificarse la actividad. La empresa no ha divulgado cuándo comenzó la intrusión, cómo los atacantes obtuvieron acceso o cuánto tiempo permanecieron dentro de la cuenta.

La empresa informa que la infraestructura de pagos permaneció segura

Nayax afirmó que los fondos de los clientes se mantuvieron a salvo y que los atacantes no obtuvieron acceso no autorizado a las cuentas de los clientes. El entorno de producción de la empresa, los sistemas centrales y la infraestructura de procesamiento de pagos no se vieron afectados, y las operaciones continuaron sin interrupciones.

Fundada en 2005, Nayax ofrece aceptación de pagos, gestión de comercios y tecnología de fidelización para operadores de negocios minoristas desatendidos y tradicionales. Al 31 de marzo, la empresa contaba con 13 oficinas, aproximadamente 1.250 empleados y conexiones con más de 80 adquirentes de comercios y métodos de pago. La empresa procesa pagos en nombre de los comercios, por lo que los consumidores pueden ver a Nayax en los extractos de sus tarjetas después de compras realizadas en máquinas expendedoras u otras terminales de autoservicio.

Nayax divulga el desempeño financiero y los costos del incumplimiento

El incumplimiento ocurrió durante un periodo de crecimiento acelerado y reestructuración de costos en Nayax. La empresa reportó aproximadamente 400 millones de dólares en ingresos para 2025, un aumento de alrededor del 24%, y una ganancia neta de 35,5 millones de dólares después de registrar una pérdida el año anterior. Nayax ha proyectado ingresos de 2026 entre 510 millones de dólares y 520 millones de dólares.

Poco antes del incidente cibernético, según se informó, la empresa despidió a 32 empleados, equivalentes a cerca del 3% de su fuerza laboral, incluidos 20 puestos en Israel. Esto siguió a una ronda anterior de recortes.

El ciberataque ha generado gastos para investigación forense, remediación, revisiones de sistemas y respuesta al incidente. Nayax indicó que podrían seguir costos adicionales, aunque los acuerdos de seguro o de indemnización podrían compensar parte de la factura. La empresa aún no ha cuantificado esos costos ni ha divulgado si espera investigaciones regulatorias, notificaciones a consumidores o litigios en cualquier jurisdicción. Nayax señaló que actualmente no espera que el incidente tenga un efecto material en su situación financiera o resultados operativos.

Preguntas frecuentes

¿Qué datos robaron los hackers de Nayax?
Los hackers copiaron una copia de seguridad que contenía documentos escaneados, información relacionada con el negocio y registros de transacciones de pagos desde una cuenta en la nube vinculada a una subsidiaria de Nayax. Los registros de transacciones no incluían nombres de titulares de tarjetas, códigos de seguridad CVV ni información de identificación, ya que, en general, esos datos no se conservan en los sistemas de Nayax. Una parte significativa de las transacciones afectadas implicó billeteras digitales como Apple Pay y Google Pay, que utilizan credenciales tokenizadas.

¿Cuándo divulgó Nayax el ciberataque?
Nayax informó por primera vez del incidente el 8 de julio después de detectar una actividad anómala en una cuenta de computación en la nube asociada a una subsidiaria. La empresa confirmó el 14 de julio que los datos habían sido exfiltrados. Los hackers amenazaron con publicar material presuntamente robado si Nayax no paga antes del 21 de julio.

¿Por qué Nayax se negó a pagar el rescate?
El consejo de administración de Nayax decidió no cumplir con las exigencias de extorsión de los atacantes porque pagar no serviría a los intereses a largo plazo de sus clientes, socios, empleados o accionistas. La empresa colabora con las autoridades encargadas de hacer cumplir la ley en Israel y Estados Unidos.