Filtración de datos de Notion: chats de IA expuestos

¿Hackearon a Notion?

No directamente: Notion dice que el incidente «no fue una vulneración de nuestros sistemas», sino una filtración en Fireworks AI, un proveedor externo de IA, que expuso transcripciones de chat de Notion AI de menos del 1% de los espacios de trabajo ^[1].

Notion usaba Fireworks para dos cosas: los trabajos de clasificación que hay detrás de Insights, una función que ayuda a los clientes a entender su propio uso de la IA, y como proveedor general de inferencia para ejecutar modelos de IA de pesos abiertos dentro de Notion ^[1]. BleepingComputer explica que Insights ofrece a los administradores de los espacios de trabajo visibilidad sobre cómo usan la IA sus equipos ^[4].

Notion dice que ninguna otra función resultó afectada ^[1]. Ha desactivado Insights mientras investiga y ya no ofrece modelos de pesos abiertos a través de Fireworks ^[1]. TechCrunch informa de que, según Notion, Fireworks confirmó más tarde que se robaron algunos datos de clientes de Notion ^[3].

¿Qué datos quedaron expuestos en la filtración de Notion?

El conjunto de datos robado incluía transcripciones de chat de Notion AI utilizadas para Insights que, según TechCrunch, que cita a Notion, contienen «cualquier entrada o salida del modelo que se escribiera en el chat» ^[3]. En la mayoría de los espacios de trabajo afectados, Notion dice que las transcripciones eran no atribuibles ^[1].

Notion define como «no atribuibles» los chats que no estaban etiquetados con quién los escribió ni con el espacio de trabajo del que procedían, y que no contenían resultados de llamadas a herramientas ^[1]. «Más allá de lo que figura en la propia transcripción del chat, no hay ninguna información que vincule el chat con espacios de trabajo, usuarios o empresas», afirma ^[1][5].

El problema es el contenido en sí. Cualquier cosa que una persona escribiera en Notion AI, como una contraseña, una clave de API o texto confidencial, podría estar en una transcripción ^[1]. Notion dice que encontró esas claves en mensajes afectados: el 11 de noviembre revocó las claves de API de Notion expuestas y el 12 de noviembre notificó las claves de API de terceros expuestas a los proveedores que las emitieron ^[1].

En el propio Fireworks, la filtración más amplia afectó a metadatos de recursos, información de facturación (direcciones, facturas, saldos y uso de crédito) y, en el caso de algunos clientes, a pesos de modelos y conjuntos de datos incompletos ^[2]. Fireworks dice que no almacena números de tarjetas de pago y que no se vieron afectados ^[2].

¿Cuándo ocurrió la filtración de Notion?

El atacante llegó a Fireworks a finales de octubre de 2026; Notion supo que había datos de clientes implicados a principios de noviembre y se puso en contacto con los clientes afectados el 9 de noviembre ^[1][2].

• 23 de octubre: un proveedor de nube externo que alojaba las máquinas de I+D de Fireworks sufrió un incidente de seguridad ^[2].
• 24 de octubre: el atacante lo utilizó para llegar a las máquinas de desarrollo de Fireworks y ejecutó una carga de trabajo no autorizada; Fireworks dice que lo detectó ese mismo día ^[2].
• 2 de noviembre: Fireworks informó a Notion de que se había accedido a un pequeño conjunto de datos; Notion encontró inicialmente solo datos sintéticos de prueba ^[1].
• 3-4 de noviembre: a la mañana del 3 de noviembre Notion había desconectado sus sistemas de Fireworks y, el 4 de noviembre, eliminó todos sus datos en el sistema de Fireworks ^[1].
• 6 de noviembre: Fireworks dijo que podría haberse accedido a datos de clientes ^[1].
• 8 de noviembre: Fireworks confirmó el conjunto de datos afectado definitivo; Notion descubrió después que incluía transcripciones de chat de Notion AI utilizadas para Insights ^[1].
• 9 de noviembre: Notion se puso en contacto con los clientes afectados ^[1].
• 11-13 de noviembre: el aviso de Notion, fechado el 12 de noviembre, incluye notas de actualización: el 11 de noviembre revocó las claves de API de Notion expuestas y el 12 de noviembre notificó las claves de API de terceros expuestas a los proveedores que las emitieron ^[1].

Algunas informaciones comprimen esta cronología; el aviso de Notion es el relato fechado más detallado ^[1].

¿Qué deben hacer ahora los usuarios de Notion?

Notion dice que, si no ha recibido noticias suyas, su espacio de trabajo no ha sido identificado como afectado y no es necesario hacer nada por ahora ^[1]. A los clientes afectados les recomienda ^[1][4]:

1. Revisar los datos expuestos. Los clientes afectados pueden recuperarlos de forma segura dentro de su espacio de trabajo mediante las instrucciones enviadas por correo ^[1]. BleepingComputer informa de que los propietarios de los espacios de trabajo pueden usar la revisión de incidentes de seguridad en la interfaz web de escritorio de Notion y compartir un enlace de descarga con los miembros ^[4].
2. Tratar los datos como expuestos, aunque la mayoría de las transcripciones no sean atribuibles ^[1].
3. Cambiar las credenciales. Si pegó información sensible, contraseñas, claves de API u otras credenciales en Notion AI durante el periodo del incidente, cámbielas ^[1][5].
4. Incluir las claves de otros servicios. Notion dice que ha notificado las claves de API de terceros expuestas que encontró a los proveedores que las emitieron; su consejo a los clientes es cambiar cualquier clave de API pegada en Notion AI ^[1].
5. Para las comprobaciones generales tras una filtración, Was My Data Leaked? How to Check and What to Do After a Data Breach explica qué revisar después de cualquier filtración (consejo general, no forma parte del aviso de Notion).

Una precaución general, que no forma parte del consejo de Notion: mantenga los secretos en uso fuera de los chats de IA. Password Managers Explained: How They Work and Whether They Are Safe explica formas más seguras de guardar y compartir credenciales, y Is ChatGPT Safe for Your Privacy? What AI Chatbots Do With the Data You Share analiza qué hacen las herramientas de chat con IA con sus datos.

¿Qué es Fireworks AI y cómo fue hackeada?

Fireworks AI es una plataforma que los desarrolladores usan para acceder a modelos de IA abiertos y ejecutarlos; Notion la describe como una de las plataformas de infraestructura de IA más utilizadas del mundo, que da servicio a decenas de miles de clientes ^[1][3].

Fireworks dice que un proveedor de nube que alojaba sus máquinas de I+D sufrió un incidente el 23 de octubre, que una parte no autorizada aprovechó al día siguiente para llegar a las máquinas de desarrollo de Fireworks ^[2]. SecurityWeek da el 24 de octubre como la fecha en que se comprometieron los datos de clientes ^[5]. Fireworks dice que, a 25 de octubre, no había detectado más pruebas de acceso no autorizado exitoso a la plataforma que usan sus clientes ^[2].

TechCrunch califica este incidente como la segunda filtración que afecta a Fireworks en otros tantos meses ^[3]. Un incidente anterior, anunciado en un boletín del 9 de octubre, afectó a secretos almacenados; BleepingComputer informa de que los hackers accedieron a variables de entorno que contenían claves de API y tokens de un número limitado de cuentas ^[2][4].

Fireworks dice que avisó a las fuerzas de seguridad y que trabaja con Palo Alto Networks Unit 42 en el análisis forense ^[2]. Su respuesta incluyó revocar y sustituir credenciales, aislar los sistemas afectados y desactivar temporalmente las cargas y descargas de conjuntos de datos de autoservicio para la inferencia por lotes y el entrenamiento basado en conjuntos de datos ^[2].

¿Qué es el LLMjacking?

El LLMjacking es el robo de acceso a grandes modelos de lenguaje para revenderlo; Fireworks dice que las pruebas indican vínculos con un grupo de ciberdelincuentes con motivación económica que se dedica a ello ^[2].

Según Fireworks, el grupo se dedica a «vender tokens obtenidos mediante acceso no autorizado a grandes modelos de lenguaje (LLM) a pasarelas de enrutamiento ilícitas» ^[2]. TechCrunch, que no usa el término, informa de que Fireworks cree que los atacantes tienen motivación económica y que los compradores son terceros no autorizados que usan el acceso robado sin pagar por su propia capacidad de cómputo ^[3]. SecurityWeek, por su parte, vincula el segundo incidente de Fireworks con un aumento reciente de la actividad de LLMjacking ^[5].

Notion solo habla de «actores maliciosos» y no dice nada sobre quiénes eran ni qué querían ^[1]. Lo que sí informa es de que se encontraron claves de API expuestas en mensajes afectados, y que revocó las claves de Notion y notificó las claves de terceros a quienes las emitieron ^[1]. Fireworks señala que Google Threat Intelligence Group y Mandiant publicaron una investigación sobre el LLMjacking el 2 de noviembre ^[2].

¿Es seguro seguir usando Notion AI?

Notion dice que se ha cortado la conexión con el proveedor, que se han eliminado los datos de Fireworks y que la función afectada está desactivada, pero que su investigación continúa ^[1].

• Tranquilizador: ninguna otra función de Notion resultó afectada; la mayoría de las transcripciones no pueden vincularse a un usuario; se ha contactado con los clientes afectados ^[1].
• Tranquilizador: Fireworks dice que su servicio de inferencia, el Training SDK y Nexus tienen retención cero de datos por defecto y no mostraron ningún impacto ^[2].
• Pregunta abierta: BleepingComputer informa de que las preguntas frecuentes de Notion dicen que Fireworks se había comprometido por contrato a la retención cero de datos de Notion ^[4]; ninguna de las fuentes revisadas explica cómo llegó a ser accesible el conjunto de datos de Insights.
• Preocupante: Notion da una proporción (menos del 1% de los espacios de trabajo) pero, según SecurityWeek, no reveló cuántos clientes resultaron afectados ^[5].

Notion dice que «elevará el listón» de la protección de los datos de los clientes ^[1]. TechCrunch sostiene que el incidente muestra cómo las empresas tecnológicas dependen de otros proveedores para sus propias ofertas ^[3].

¿Qué ocurrirá a continuación?

Ambas empresas dicen que sus investigaciones continúan; Notion dice que actualizará su aviso y Fireworks que facilitará nuevas actualizaciones cuando proceda ^[1][2]. Fireworks advierte de que su investigación «puede revelar información adicional» ^[2].

Puntos que vigilar: si Fireworks nombra a otros clientes afectados, si Notion revisa la cifra de «menos del 1%» y si Insights, actualmente desactivado, vuelve ^[1][2]. Hasta entonces, la página de avisos de Notion es el lugar donde consultar las actualizaciones oficiales ^[1].

La lección más amplia para las empresas tiene que ver con las cadenas de proveedores. TechCrunch señala que la filtración muestra cómo las empresas tecnológicas dependen de otros proveedores para sus propios productos, de modo que un ataque a uno puede extenderse a sus clientes ^[3]. Fireworks dice que desde entonces ha reforzado el acceso a los sistemas de almacenamiento de datos y de análisis, ha restringido las rutas de red y ha mejorado el registro y la supervisión con Unit 42 ^[2]. Como precaución general (no procede de ninguna de las dos empresas), los equipos que envían datos a proveedores de IA pueden preguntar qué se almacena, durante cuánto tiempo y con qué rapidez se les informaría de un incidente.