Flex firmó 3.300 millones en deuda a un año ocho días después de ser listada por un grupo de ransomware

Tres accesos de Okta y, luego, el listado en el sitio de filtraciones

El 18 de septiembre de 2026, tres accesos de empleados al servicio de identidad Okta de Flex aparecieron en registros criminales de credenciales robadas (stealer logs)↗. Formaban parte de un lote de 21 registros de credenciales vinculados a flex.com que afloraron entre el 18 y el 21 de septiembre ¹. Tres días después, el grupo de ransomware MetaEncryptor incluyó a Flex —el fabricante de electrónica por contrato que cotiza en el Nasdaq— en su sitio de filtraciones↗ ¹². SOCRadar, la firma que destapó esos accesos, contabilizó 20 víctimas del grupo en los 60 días anteriores y consideró a Flex su víctima más relevante del sector manufacturero en esa racha ¹.

Ocho días después, 3.300 millones en deuda a un año

El 29 de septiembre, ocho días después del listado, Flex firmó la pata financiera de su giro hacia la energía para la IA: un préstamo senior a plazo de 3.300 millones de dólares, con Citibank como agente administrativo↗, sin disposición en el momento de la firma y con vencimiento a los 364 días de su desembolso, regido por un límite máximo de deuda/EBITDA de 4,50 veces y por un suelo de cobertura de intereses de 3,00 veces ⁵. The Inference cubrió esta financiación el 4 de octubre; lo que sigue es el registro de septiembre que aquel artículo —y todos los documentos oficiales que hay detrás— dejan fuera.

El préstamo se descuenta dólar a dólar de un puente de 4.400 millones de dólares↗ que Citigroup y Bank of America conceden para respaldar la compra en efectivo de EPC Power, un fabricante de equipos de conversión de energía que, según las previsiones, facturará unos 800 millones de dólares en 2026 y que está destinado a la unidad que Flex planea escindir en el primer trimestre de 2027 ³⁴⁵. En el trimestre previo a la firma, la deuda de Flex había subido un 39% interanual, hasta los 5.930 millones de dólares, mientras el flujo de caja libre se desplomaba un 85%, hasta los 41 millones ¹¹.

Ni una línea en los documentos que leen los inversores

Ambos formularios 8-K, leídos de principio a fin, describen la financiación y sus riesgos a lo largo de páginas de advertencias sobre la escisión; en ninguno aparece la palabra «ransomware», «brecha de seguridad» o «ciberseguridad» ³⁵. El índice EDGAR de Flex↗ no muestra ningún informe de incidente de ciberseguridad conforme al Item 1.05, el formulario que una empresa cotizada presenta cuando un ataque adquiere carácter material ⁶. La cobertura posterior del préstamo se limitó a recitar las condiciones y no fue más allá ⁷⁸. El contrato de crédito tasa el apalancamiento de Flex con dos decimales; el registro público tasa su riesgo cibernético en cero.

Veintiún registros y un grupo que va ya por su tercer nombre

El lote de credenciales se desglosa así: tres inicios de sesión de Okta, uno para el sistema de innovación de una filial de Flextronics, otro para el panel de administración de la web corporativa, ocho credenciales de empleados reutilizadas en plataformas SaaS de terceros y ocho usuarios externos de ese panel ¹. El acceso a Okta importa porque un solo inicio de sesión puede desbloquear todos los inquilinos de nube conectados; por eso SOCRadar vinculó el calendario de las credenciales con el listado como posible vía de entrada, una inferencia que la compañía plantea expresamente como tal ¹.

La marca no es nueva: MetaEncryptor nació en 2022, dejó de sumar víctimas en julio de 2023 y varios investigadores vincularon la plantilla de su sitio de filtraciones y su cifrador con el cambio de nombre a LostTrust↗ antes de que el nombre reapareciera ¹⁰. Cuatro días antes de Flex, el mismo nombre se atribuyó un ataque a AECOM y 1,22 terabytes de datos, sin confirmar, y atrajo una investigación de demanda colectiva↗ en tres días ⁹.

Por qué esto puede no ser nada

Los listados en sitios de filtraciones son exigencias de extorsión, no pruebas. El propio descargo de responsabilidad de SOCRadar admite que no siempre se pueden verificar ¹, y a fecha de 4 de octubre ni la alerta de SOCRadar ni la publicación de DailyDarkWeb dan cuenta de datos de Flex ya publicados: ambos relatos remiten al único listado del 21 de septiembre ¹². Puede que Flex rotara los inicios de sesión y pasara página; de ser así, los documentos oficiales estaban completos y el hueco está solo en el marketing del grupo.

Dónde se resuelve esto

El cierre de EPC, previsto para el cuarto trimestre, y el formulario 10 que la sociedad escindida ya ha presentado bajo el nombre de Axiom Solutions International pondrán precio por sí solos a la pata de deuda ³⁵. Lo que pondría precio al hueco cibernético sería un volcado de datos o una cuenta atrás de MetaEncryptor, un documento oficial bajo el Item 1.05 o un nuevo lenguaje de riesgo en el 10-Q que llegue con los resultados de octubre; la reescritura completa de los factores de riesgo espera al 10-K, hacia mayo de 2027 ⁶. Habrá que vigilar el sitio de filtraciones y el índice de EDGAR; uno de los dos se moverá primero.