Aeroméxico notificó este 2 de octubre a su clientela: un archivo que alguien ofrece en Telegram podría traer su nombre completo, fecha de nacimiento, nacionalidad, número de pasaporte y número de viajero frecuente. De acuerdo con la Secretaría Anticorrupción y Buen Gobierno, citada por IBTimes, el archivo rebasa los 15 millones de registros. La dependencia ejerce desde marzo de 2025 las facultades de protección de datos del extinto INAI. Revisa el caso y tiene la posibilidad de multar a la aerolínea hasta con 320,000 veces la Unidad de Medida y Actualización, unos 37.5 millones de pesos por cada infracción.
Según la empresa, no se advierte afectación en datos financieros, como cuentas bancarias o tarjetas de pago, ni en contraseñas. Explica que todo partió en un incidente de 2025 en una plataforma que operaba un proveedor externo, en medio de una campaña internacional de ciberataques contra compañías de distintos sectores, según el aviso que reseñó La Razón.
cuando resulte imputable al responsable
Cómo apareció la base
Los especialistas en ciberseguridad de Aeroméxico encontraron el 18 de septiembre un anuncio en Telegram. Un tercero ofrecía lo que presentaba como la base de clientes de la compañía. La Secretaría Anticorrupción topó con ese mismo anuncio durante un monitoreo activo forense, según contó Xataka México, y lo hizo público el 20 de septiembre.
El archivo pesa alrededor de 1.10 GB, indicó la dependencia. Sus técnicos consiguieron una muestra de 100,092 registros, donde, de acuerdo con Xataka México, hallaron «nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta». IBTimes agregó que en la muestra había datos de servidores públicos y figuras públicas. En ese momento, la Secretaría advirtió que no estaba establecido el origen de la base y que los datos serían presuntamente atribuibles a la aerolínea, de acuerdo con UPI.
El aviso del 2 de octubre sumó campos que la muestra oficial no mencionaba: nacionalidad, género, ruta preferida, número de pasaporte y número de cliente frecuente. Los 15 millones son registros dentro del archivo y no personas, precisó IBTimes. La aerolínea dijo que su investigación sigue abierta para determinar qué información pertenece de verdad a sus clientes y cuál fue el alcance de la exposición.
Tras el hallazgo, la aerolínea amplió el escrutinio a su propia infraestructura. La Razón informó que encontró condiciones de seguridad que se pueden reforzar en algunos sistemas propios, aunque la empresa afirma que por ahora nada indica que hayan comprometido información. Además aseguró que el incidente de 2025 no alcanzó sus sistemas sino los del proveedor, con quien coordina tareas de contención.
Para qué le sirven estos datos a un estafador
Si resulta cierto que el archivo no contiene contraseñas ni datos de tarjetas, con él nadie entra directo a una cuenta ni toca el dinero de nadie. La aerolínea y la prensa especializada ven otro riesgo: la suplantación. Con nombre, fecha de nacimiento, correo, teléfono, número de socio y ruta habitual, un mensaje falso a nombre de Aeroméxico puede traer información verdadera del cliente. Xataka México explicó que justo esos datos permiten armar mensajes fraudulentos convincentes, hacerse pasar por otra persona o montar campañas de ingeniería social.
La aerolínea pidió a sus clientes desconfiar de correos, mensajes y llamadas que pidan información personal, contraseñas o códigos de verificación; no entregarlos si la solicitud llega sin que la hayan esperado, y verificar cualquier comunicación en los canales oficiales.
El caso tiene un antecedente. En octubre de 2025, el periodista Ignacio Gómez Villaseñor advirtió que Aeroméxico aparecía en una lista de presuntas víctimas del grupo ShinyHunters, que amenazaba con difundir 172.9 GB de información, entre ella datos de pasaportes. Así lo recogió la cobertura de Xataka México, que relacionó esa muestra con ataques a entornos de Salesforce. UPI suma que, ese mismo mes, la aerolínea sufrió un ciberataque que comprometió una base con más de 20 millones de registros.
Qué dice la ley y qué puede hacer Anticorrupción
El 20 de marzo de 2025, el Diario Oficial de la Federación publicó la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la de 2010. Con ella, la Secretaría Anticorrupción y Buen Gobierno recibió las facultades que antes tenía el INAI para verificar, resolver quejas y sancionar a empresas privadas. Los artículos transitorios mandan que el personal del instituto pase a la Secretaría.
Toda empresa que trate datos tiene que mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18). El artículo 19 dispone que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable». La ley separa a la empresa responsable de los datos de la «persona encargada» que los maneja por su cuenta, como un proveedor tecnológico.
Según Xataka México, la Secretaría actúa con las facultades de los artículos 54 y 55, que regulan el procedimiento de verificación. Ante un presunto incumplimiento, debe abrir un procedimiento de sanción. Ahí la empresa tiene 15 días para presentar pruebas y cinco más para alegatos, mientras que la autoridad resuelve en un máximo de 50 días contados desde el inicio, plazo que puede ampliar una vez.
No todas las infracciones cuestan lo mismo. Vulnerar la seguridad de las bases de datos «cuando resulte imputable al responsable», o faltar al deber de confidencialidad, se sanciona con entre 200 y 320,000 UMA. La UMA vale 117.31 pesos desde el 1 de febrero, según el INEGI, así que el rango va de 23,462 pesos a 37.5 millones de pesos. Si las infracciones se repiten, cabe una multa adicional de 100 a 320,000 UMA. Cuando se trata de datos sensibles, las sanciones pueden crecer hasta dos veces esos montos. La ley define esa categoría como la que toca la esfera más íntima de la persona y da como ejemplos el origen racial o étnico, el estado de salud, las creencias y las opiniones políticas; la aerolínea no incluyó nada de eso entre los campos que describió. A la hora de fijar la sanción, la Secretaría tiene que considerar la naturaleza del dato, si la conducta fue intencional o no, la capacidad económica del responsable y la reincidencia.
Pendientes
Las fuentes consultadas no reportan que la Secretaría haya cerrado la verificación ni iniciado un procedimiento sancionador. Aeroméxico continúa indagando si la base es auténtica, cuál es su origen y cuántas personas resultaron afectadas en realidad.
Las multas administrativas no cierran el camino a otras acciones. El artículo 53 permite a quienes resulten afectados reclamar una indemnización por los daños del incumplimiento, y el artículo 61 aclara que las sanciones se aplican sin perjuicio de la responsabilidad civil o penal. El artículo 62 contempla de tres meses a tres años de prisión para quien, estando autorizado a tratar datos personales, cause con ánimo de lucro una vulneración de las bases que custodia.
