Loxone restaura sistemas y avisa sobre credenciales compartidas

Qué se ha anunciado

En su actualización oficial del 21 de octubre de 2026 a las 12:02 CEST, Loxone comunicó que la web, la tienda online y el Portal de Partners han sido restaurados técnicamente y han superado pruebas internas y externas de penetración. Todavía no se han abierto al público: la empresa espera una actualización para dos vulnerabilidades críticas de PHP anunciadas el 20 de octubre y quiere instalarla antes de exponer de nuevo esos servicios. La operativa habitual está mayoritariamente restablecida y los centros logísticos de la sede, Estados Unidos, Reino Unido y Suiza vuelven a enviar productos.

Según Loxone, la revisión completa del código no encontró compromiso del código fuente. La empresa afirma que logró descifrar para su análisis las bases de datos cifradas por los atacantes, reconstruyó desde cero el middleware afectado del CRM, restableció o rotó los mecanismos de autenticación y revisó las conexiones con proveedores. Son resultados comunicados por la propia compañía y no sustituyen una auditoría independiente.

Para propietarios e instaladores, la novedad más práctica es la revisión de datos e historiales de comunicación para localizar casos en los que se hubieran enviado en texto plano credenciales de acceso a instalaciones. Loxone dice que ya informó de forma proactiva a los partners afectados e inició medidas de seguridad. Esto no significa que todas las viviendas estén expuestas: la compañía mantiene que no conoce las claves de una instalación salvo que alguien se las comparta.

La FAQ anterior sigue indicando una probable copia de datos de sistemas internos, entre ellos contactos de partners, solicitudes de soporte y datos de candidatos. El alcance exacto continúa bajo investigación. Loxone mantiene que Miniserver, Remote Connect y Exosphere no fueron afectados, que no hay indicios actuales de compromiso de cuentas LOXONE.com y que los datos bancarios y de tarjetas no están implicados.

Quien haya compartido alguna vez credenciales de una instalación con soporte o con un partner debe prestar atención a una notificación directa y, ante cualquier duda, cambiar el acceso junto con su instalador. Loxone recuerda que nunca solicita contraseñas por correo, teléfono, SMS o redes sociales. No conviene seguir enlaces ni introducir datos desde mensajes no verificados, aunque aparenten proceder de la marca.