Inditex, der Mutterkonzern von Zara, meldete am 15. April 2026 einen unbefugten Zugriff auf bei einem Drittanbieter gehostete Transaktionsdaten. Kurz darauf reklamierte die Ransomware-Gruppe ShinyHunters den Angriff, setzte eine Frist bis zum 21. April und drohte mit der Veröffentlichung der erbeuteten Informationen. Die Daten stammten aus einer extern betriebenen Umgebung; ShinyHunters behauptete, über den Dienstleister Anodot Zugriff erlangt zu haben. Sensible Zahlungsdaten seien laut Berichten nicht betroffen. Am 22. April veröffentlichten die Hacker schlussendlich mehr als 140 GB komprimierter Dateien des Unternehmens auf ihrer Leakseite.