Un archivo de 1.10 GB, un anuncio de venta en Telegram y una cifra que supera los 15 millones de registros. Con eso arrancó el caso de Aeroméxico.
El 2 de octubre, la aerolínea notificó a sus clientes que en esa base podrían aparecer su número de viajero frecuente, pasaporte, nacionalidad, fecha de nacimiento y nombre completo. El conteo viene de la Secretaría Anticorrupción y Buen Gobierno, según IBTimes.
puede redactar un mensaje falso a nombre de Aeroméxico con datos verdaderos
Esa dependencia revisa el caso. Desde marzo de 2025 tiene atribuciones en materia de protección de datos que antes eran del extinto INAI. La sanción más alta por cada infracción equivale a 320,000 veces la Unidad de Medida y Actualización: unos 37.5 millones de pesos.
Aeroméxico dice que no advierte afectación en datos financieros (cuentas bancarias, tarjetas de pago) ni en contraseñas. Según el aviso que reseñó La Razón, el incidente ocurrió en 2025 en una plataforma que manejaba un proveedor externo, en plena oleada internacional de ciberataques dirigida a empresas de varios sectores.
Así apareció el archivo
El 18 de septiembre, los especialistas en ciberseguridad de Aeroméxico dieron con una publicación en Telegram: una tercera persona ponía a la venta lo que describía como la base de clientes de la aerolínea.
La Secretaría Anticorrupción encontró ese anuncio en un monitoreo activo forense, lo informó Xataka México, y el 20 de septiembre lo dio a conocer.
La dependencia calcula que el archivo ronda 1.10 GB. Sus técnicos obtuvieron una muestra, la de 100,092 registros, donde según Xataka México aparecían «nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta». IBTimes agrega que también había datos de figuras públicas y servidores públicos.
Por entonces, la Secretaría advirtió que no estaba establecido de dónde provenía la base y la calificó de información presuntamente atribuible a la aerolínea, según UPI.
El aviso del 2 de octubre abarca más campos posibles que la muestra oficial: número de cliente frecuente, ruta preferida, género, nacionalidad y número de pasaporte. IBTimes precisó que los 15 millones corresponden a registros del archivo y no a personas. La empresa afirmó que continúa indagando cuáles datos pertenecen en verdad a sus clientes y qué tanto se expuso.
Tras ubicar la publicación, la compañía amplió el examen de su propia infraestructura. De acuerdo con La Razón, halló aspectos de seguridad susceptibles de reforzarse en algunos de sus sistemas, aunque asegura que hasta ahora nada indica que hayan comprometido información. Añadió que en 2025 el golpe no llegó a sus sistemas, sino a los de su proveedor, con el que trabaja en labores de contención.
Lo que alguien podría hacer con esos datos
Si se confirma que el archivo no trae contraseñas ni datos de tarjetas, nadie entra directo a una cuenta ni toca dinero con él. Lo que señalan la aerolínea y la prensa especializada es otro riesgo: la suplantación.
Quien tenga el correo, el teléfono, la ruta habitual, el número de socio, el nombre y la fecha de nacimiento de un cliente puede redactar un mensaje falso a nombre de Aeroméxico con datos verdaderos. Para Xataka México, información así permite armar mensajes fraudulentos creíbles, suplantar identidades o montar campañas de ingeniería social.
La aerolínea recomienda desconfiar de correos, mensajes y llamadas que pidan códigos de verificación, contraseñas o información personal. Ante una petición inesperada, no entregarlos; cualquier comunicación se confirma por los canales oficiales.
Hay un antecedente. El periodista Ignacio Gómez Villaseñor ya había alertado en octubre de 2025 que Aeroméxico aparecía en una lista de presuntas víctimas del grupo ShinyHunters. El grupo amenazaba con publicar 172.9 GB de información, que incluía datos de pasaportes. Xataka México relacionó esa muestra con ataques a entornos de Salesforce.
Según UPI, ese mes la aerolínea padeció un ciberataque que comprometió una base que rebasa los 20 millones de registros.
La ley y el margen de la Secretaría
El 20 de marzo de 2025, el Diario Oficial de la Federación publicó la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la de 2010. Las atribuciones de verificar, resolver quejas e imponer sanciones a empresas privadas, que antes eran del INAI, quedaron en manos de la Secretaría Anticorrupción y Buen Gobierno. Los artículos transitorios ordenan el paso del personal del instituto a la Secretaría.
El artículo 18 exige a cualquier empresa que maneje datos medidas de seguridad de tres tipos: administrativas, técnicas y físicas. El artículo 19 dispone que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable». Hay dos figuras: el responsable, que es la empresa a cargo de los datos, y la «persona encargada», que los trata por cuenta de aquel, por ejemplo un proveedor tecnológico.
Los artículos 54 y 55 fundamentan lo que hace la Secretaría; ahí se norma el procedimiento de verificación, según Xataka México. Si detecta un presunto incumplimiento, debe abrir un procedimiento de sanción con estos plazos:
- 15 días para que la empresa presente pruebas;
- cinco más para alegatos;
- 50 días, contados desde el inicio, para que la autoridad resuelva, plazo que puede ampliarse una sola vez.
Los montos cambian según la infracción:
- de 200 a 320,000 UMA por vulnerar la seguridad de bases de datos «cuando resulte imputable al responsable» o por faltar al deber de confidencialidad;
- de 100 a 320,000 UMA adicionales si las infracciones persisten de manera reiterada;
- si la infracción ocurre al tratar datos sensibles, las sanciones pueden subir hasta dos veces los montos.
Con la UMA en 117.31 pesos desde el 1 de febrero, según el INEGI, eso equivale a entre 23,462 pesos y 37.5 millones de pesos.
La ley define como sensibles los datos que tocan la esfera más íntima de la persona, con ejemplos como creencias u opiniones políticas, estado de salud u origen racial o étnico. Esa categoría no figura entre los campos descritos por la aerolínea.
Al fijar la sanción, la Secretaría debe pesar la reincidencia, la capacidad económica del responsable, si la conducta fue intencional y la naturaleza del dato.
Lo que falta
Pagar una multa no cierra otros caminos. Con base en el artículo 53, quienes resulten afectados pueden pedir indemnización por los daños derivados del incumplimiento. El artículo 61 aclara que las sanciones no excluyen la responsabilidad civil o penal. Y el artículo 62 castiga con prisión de tres meses a tres años a quien, estando autorizado para tratar datos personales, provoque con ánimo de lucro una vulneración de las bases bajo su custodia.
En las fuentes que revisamos no hay reporte de que la Secretaría haya terminado la verificación ni iniciado un procedimiento sancionador. Del lado de Aeroméxico sigue abierta la investigación sobre si la base es auténtica, de dónde salió y cuántas personas resultaron afectadas de verdad.
