La tienda de gplabschile.com expuso los datos de cientos de clientes chilenos

¿Qué pasó?

GP Labs Chile maneja los pedidos y pagos de su tienda en un panel administrativo conectado a internet. Ese panel debería exigir usuario y contraseña para consultar información. Aquí no: cualquiera podía leerlo desde un navegador común, sin iniciar sesión.

Una dirección como esta, consultada página por página, devolvía el registro completo de pedidos en formato JSON: datos de facturación (nombre, correo, teléfono, dirección), IP y navegador del comprador, productos comprados, rastros del pago con tarjeta, notas internas del pedido y el historial completo de la tienda:

# Sin usuario, sin contraseña, sin llave de API. Solo un GET:
curl "https://www.gplabschile.com/wp-json/wc/v3/orders?per_page=100&page=1"

# Respuesta hasta el 21/22 de agosto de 2026:
HTTP 200 OK  → array completo de órdenes con datos personales

# Respuesta verificada el 22 de agosto de 2026 (corregido):
HTTP 401 → "Lo siento, no puedes listar los recursos."

Así se veían los datos

Para demostrar que la fuga es real sin dañar a las víctimas, mostramos la estructura exacta de la respuesta de la API. Todos los valores son sintéticos: ningún dato de esta página corresponde a una persona real.

// GET /wp-json/wc/v3/orders  ·  respuesta real, valores reemplazados
[
  {
    "id": "####",
    "status": "completed",
    "currency": "CLP",
    "date_created": "2026-0X-0XT0X:0X:0X",
    "total": "######",
    "transaction_id": "########",
    "billing": {
      "first_name":  "[nombre real]",
      "last_name":   "[apellidos reales]",
      "email":       "[correo real]",
      "phone":       "+56 9 XXXX XXXX",
      "address_1":   "[dirección real]",
      "city":        "[comuna real]",
      "state":       "CL-XX"
    },
    "customer_ip_address": "XXX.XXX.X.X",
    "customer_user_agent":  "[navegador y sistema del comprador]",
    "line_items": [ { "name": "[producto comprado, p.ej. agonista GLP-1]" } ],
    "meta_data": [ { "key": "_wc_order_attribution_device_type" } ]
  }
  // … × 521 órdenes, × 100 por página, sin límite de tasa
]

Alcance de la exposición

Cifras agregadas calculadas sobre los datos expuestos entre el 13 de abril y el 21 de agosto de 2026. Publicamos únicamente estadísticas; ningún registro individual.

Qué información quedó expuesta y por qué importa

Los catálogos de GP Labs incluyen péptidos y medicamentos inyectables. Eso convierte el historial de compras en información de salud sensible asociada a personas identificables con su dirección y teléfono: la Ley 19.628 los trata como datos sensibles.

Cerrar la fuga no borra los datos

El endpoint fue corregido el 22 de agosto de 2026, pero eso solo detiene nuevas descargas. Cualquier copia hecha durante los cuatro meses de exposición sigue existiendo fuera del sitio. Los datos personales filtrados no tienen forma de recuperarse.

1. Los datos filtrados son mercancíaConjuntos con nombre, dirección, teléfono, correo e historial de compras de salud se venden y se revenden en foros cerrados, canales de mensajería y mercados de la dark web. No tenemos constancia confirmada de un listado específico de esta fuga, pero la suposición segura —y la que debe guiar tu conducta— es que las copias existen y pueden negociarse en cualquier momento.
2. El fraude de tarjeta llega por el eslabón humanoLa fuga no incluyó números de tarjeta, pero la información expuesta es exactamente lo que se usa para convencerte de entregar la tuya: falso "reembolso de tu pedido", falsa "verificación de pago", falso problema de envío. El objetivo final de estas estafas siempre es tu tarjeta o tu clave bancaria.
3. Los datos viejos reaparecenEs común que lotes filtrados se vuelvan a vender y a usar mucho después del cierre de la brecha. Que hoy no pase nada no significa que el riesgo haya expirado.

Línea de tiempo

Divulgación responsable: se notificó al operador antes de publicar este sitio.

¿Compraste en GP Labs Chile? Haz esto

1. Revisa tus tarjetas y activa alertas hoySi pagaste con tarjeta, vigila cargos desconocidos y activa alertas de consumo en tu banco. La fuga incluyó los últimos 4 dígitos de las tarjetas usadas: si alguien te llama citando esos dígitos, no es tu banco ni la tienda. Ante cualquier cargo dudoso, pide la reemisión inmediata de la tarjeta.
2. Desconfía de todo contacto que mencione tus comprasCorreos, llamadas o WhatsApp que citen tus productos, tu dirección, "tu pedido" o "un reembolso" son el uso más probable de estos datos. GP Labs no te pedirá datos ni pagos por esos canales.
3. Cambia contraseñas reutilizadasSi la clave de tu correo de compra la usas en otros servicios, cámbiala. Habilita doble factor donde puedas.
4. No respondas a mensajes de extorsiónMensajes tipo "sabemos qué compraste" buscan pagarte silencio. No pagues, no respondas, guarda capturas y denuncia en fiscalía o PDI.
5. Verifica seguimientos solo en el sitio oficialEnlaces de "seguimiento de envío" que lleguen por correo o SMS pueden ser phishing. Escribe la dirección del courier tú mismo.

Qué dice la ley chilena

El tratamiento de datos personales en Chile se rige hoy por la Ley 19.628, sobre protección de la vida privada (1999). Bajo esa ley, dejar la base de clientes abierta no es solo un descuido técnico: hay obligaciones incumplidas y derechos concretos que puedes ejercer.

1. Lo expuesto incluye datos sensibles — Art. 2 letra g)La ley define como sensibles los datos referidos a “los estados de salud físicos o psíquicos”. Un registro que une nombre, dirección, teléfono y qué medicamento inyectable compró una persona revela precisamente eso. El Art. 10 solo permite tratar datos sensibles cuando la ley lo autoriza, existe consentimiento del titular o son necesarios para otorgar beneficios de salud.
2. Quien almacena los datos responde por ellos — Art. 11El responsable del registro debe cuidar los datos “con la debida diligencia”, haciéndose responsable de ellos. Una API de lectura abierta que entrega el padrón completo de clientes a cualquiera con un navegador es lo contrario de ese estándar.
3. Puedes exigir saber qué guardan de ti — Art. 12Tienes derecho a que el responsable te informe qué datos tuyos almacena, su procedencia, el propósito del almacenamiento y a qué personas u organismos se transmiten; y a exigir que se modifiquen o eliminen. El trámite es gratuito y la solicitud se dirige directamente al operador del sitio.
4. Si no responden en dos días hábiles, hay tribunal — Art. 16Si el responsable no se pronuncia sobre tu solicitud dentro de dos días hábiles, o la deniega, puedes recurrir al juez de letras en lo civil del domicilio del responsable (el llamado habeas data). Acogida la reclamación, el tribunal fija plazo de cumplimiento y puede aplicar multa de 1 a 10 UTM; la falta de entrega oportuna de la información o el retardo en la modificación ordenada se sancionan con multa de 2 a 50 UTM.
5. El daño se indemniza, incluido el moral — Art. 23El responsable del banco de datos debe indemnizar el daño patrimonial y moral que cause por el tratamiento indebido de los datos. La acción se tramita en procedimiento sumario y el juez aprecia la prueba en conciencia.

# Envíala al operador del sitio y guarda copia. Desde la solicitud corren los dos días hábiles del Art. 16.

Asunto: Solicitud de información y eliminación de datos personales — Ley 19.628

En virtud del artículo 12 de la Ley 19.628, solicito se me informe:
  1. qué datos personales míos mantienen almacenados;
  2. su procedencia y el propósito de su almacenamiento;
  3. las personas u organismos a los que han sido transmitidos.

Solicito, además, la eliminación de mis datos personales de sus registros.

Nombre: [tu nombre]   Correo usado en la compra: [tu correo]   Fecha: [fecha]

Esta sección resume la normativa vigente con fines informativos y no constituye asesoría legal. Para un caso particular, consulta a un abogado.

Divulgación responsable

1. Este sitio no publica datos de víctimasSolo estadísticas agregadas y muestras con valores sintéticos. Ningún registro de este sitio corresponde a una persona real.
2. Verificación de solo lecturaEl hallazgo se confirmó con peticiones GET a endpoints públicos, sin modificar ni eliminar información.
3. Notificación previaEl operador fue informado antes de la publicación. El acceso quedó cerrado el 22 de agosto de 2026.
4. ContactoConsultas o verificación independiente: contacto@gplabsbreach.com