15 millones de registros de Aeroméxico en Telegram: el responsable fue un proveedor, no la aerolínea, y esa es la obligación que te toca a ti

El 18 de septiembre de 2026 alguien ofreció en Telegram una base de datos de más de 15 millones de registros, de 1.10 GB, atribuida a Aeroméxico: nombre completo, correo, teléfono, celular, fecha de nacimiento y fecha de alta, y según reportes posteriores también número de pasaporte, nacionalidad y número de viajero frecuente. La Secretaría Anticorrupción y Buen Gobierno (SABG) abrió investigación el 20 de septiembre y tomó una muestra de 100,092 registros. El 21 de septiembre Aeroméxico ya había dado una explicación: la información vendría de un incidente de 2025 en la infraestructura de un proveedor externo, no de sus propios sistemas, según la nota de Expansión. Es justo el escenario que debería preocuparte si tu empresa también le entrega datos de clientes a un proveedor: el hackeo lo sufre otro, pero la obligación legal te puede tocar a ti.

Nada de esto está confirmado al cien por ciento. La SABG, en el comunicado recogido por El Imparcial, aclaró que no hay confirmación oficial de la validez completa de la base ni del origen exacto. Lo que sí es un hecho verificable es la secuencia: una base se ofreció en un canal público, una autoridad la detectó y abrió investigación, y la empresa señalada tuvo que reaccionar con una explicación pública en días, no en meses.

Qué se sabe y qué sigue sin confirmarse

Los hechos verificados hasta el 2 de octubre de 2026:

• 18 de septiembre: aparece en Telegram la oferta de una base de más de 15 millones de registros, 1.10 GB, con nombre completo, correo, teléfono, celular, fecha de nacimiento y fecha de alta, según la cobertura de Infobae.
• 20 de septiembre: la SABG abre investigación, toma una muestra de 100,092 registros e identifica que algunos corresponden a servidores públicos y figuras públicas. No confirma el origen ni responsabiliza a Aeroméxico de forma oficial.
• 21 de septiembre: Aeroméxico atribuye la exposición a un incidente de 2025 ocurrido en la plataforma de un proveedor externo, dentro de una campaña internacional de ciberataques que también afectó a otras empresas y sectores. La aerolínea asegura que no se comprometieron datos financieros, tarjetas ni contraseñas de Aeroméxico Rewards.
• 1 de octubre: Aeroméxico amplía la revisión de sus propios sistemas e infraestructura y reconoce haber encontrado, en sus palabras, "condiciones de seguridad susceptibles de fortalecer" en algunos de ellos, según la nota de La Razón.
• 2 de octubre: Aeroméxico envía una advertencia directa a sus clientes, menciona el riesgo sobre números de pasaporte y recomienda desconfiar de llamadas y mensajes no solicitados, verificando todo por canales oficiales, de acuerdo con Infobae.

Lo que sigue sin confirmación pública: si la base completa de 15 millones de registros es auténtica en su totalidad, si hay solapamiento con las amenazas que el grupo ShinyHunters había hecho a inicios de 2026 sobre la aerolínea, y cuál proveedor específico sufrió el incidente de 2025. No lo afirmes como hecho si vas a usar este caso como ejemplo interno: a la fecha de esta nota sigue abierto.

La obligación que activa una sospecha, no solo un hackeo confirmado

Aquí es donde el caso deja de ser una nota sobre una aerolínea y se vuelve una pregunta sobre tu empresa. La LFPDPPP vigente (2025) no exige que el hackeo esté confirmado al 100% para que la obligación se active: su artículo 19 dice que las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los titulares deben informarse "de forma inmediata" a los titulares, para que puedan defender sus derechos. El detalle que casi nadie revisa: la ley vigente obliga a avisar al titular, no necesariamente a la autoridad, y no fija una sanción específica para quien omite ese aviso puntual, aunque sí existen sanciones generales por otras infracciones del mismo capítulo.

Esas sanciones generales no son simbólicas. El artículo 64 de la LFPDPPP fija multas de 100 a 160,000 días de salario mínimo (hoy convertidos a Unidades de Medida y Actualización, UMA) para infracciones menores, y de 200 a 320,000 UMA para las más graves, con el monto duplicado cuando se trata de datos sensibles. Con el valor diario de la UMA en 2026, publicado por el INEGI en 117.31 pesos, el techo de 320,000 UMA equivale a 37,539,200 pesos, y hasta 75,078,400 pesos si son datos sensibles. No es una cifra hipotética: la SABG, que heredó estas facultades tras la desaparición del INAI, aplicó 118.5 millones de pesos en multas a 51 empresas privadas entre septiembre de 2025 y junio de 2026 por infracciones de protección de datos, según el reporte de El Imparcial sobre los casos recientes de la SABG.

La ley que rige todo esto es de 2025 (publicada el 20 de marzo) y la propia SABG abrió en enero de 2026 un proceso de diálogo para evolucionar su marco regulatorio, justo porque el marco actual no contempla bien escenarios como este: un tercero filtra, la empresa que la contrató da la cara. Mientras ese marco nuevo no exista, la obligación de notificar "de forma inmediata" sigue siendo la única referencia concreta, y es deliberadamente ambigua sobre plazos exactos en horas o días.

Lo que debe estar escrito antes de que te toque a ti

Si tu empresa guarda nombre, correo, teléfono o fecha de nacimiento de clientes (exactamente el tipo de dato que apareció en esta base), hay tres documentos que deberían existir hoy, no el día que aparezca tu empresa en un canal de Telegram:

1. Protocolo de respuesta a incidentes, con dueño y plazos. No basta con "activamos nuestros protocolos" como respuesta genérica. El protocolo necesita decir quién decide si algo es una vulneración reportable, quién redacta el aviso al titular, en cuántas horas sale y quién habla con la prensa si se vuelve nota pública. Si la respuesta a "¿quién firma el comunicado?" tarda más de un día en encontrarse, no tienes protocolo, tienes una intención.
2. Monitoreo de marca en foros y canales como Telegram. La SABG encontró la base por monitoreo forense propio, no porque Aeroméxico se lo reportara primero. Para una empresa mediana, ese monitoreo no requiere un equipo dedicado: existen servicios de alerta por nombre de marca y dominio que avisan cuando aparece una base con tus correos corporativos o tu nombre de empresa. La pregunta que vale la pena hacerle a tu proveedor de ciberseguridad es simple: ¿me avisas tú, o me entero por una nota periodística?
3. Cláusulas de manejo de datos con cada proveedor que toca datos de tus clientes. Si el origen de este caso resulta ser, como dice Aeroméxico, un proveedor externo, la pregunta que debería hacerse cualquier director de operaciones es si sus propios contratos con encargados de tratamiento (el proveedor de CRM, el de nómina, el de mensajería, el de analítica) obligan a ese proveedor a notificar en un plazo fijo cuando detecta un incidente, y si existe el derecho contractual de auditar sus medidas de seguridad. La ley exige que esa relación esté formalizada en contrato, con el encargado operando solo bajo instrucciones del responsable; lo que no exige es que ese contrato tenga dientes reales, y eso lo decide cada empresa al negociarlo, no la ley.

Revisa esos tres en ese orden: protocolo interno, monitoreo externo, contrato con terceros. Las empresas que llegan a este punto por primera vez cuando ya hay una nota publicada terminan improvisando el aviso, lo que multiplica el daño reputacional aunque el origen técnico no sea su culpa.

Dónde esto no aplica, o donde la respuesta obvia es la equivocada

Si tu empresa no maneja datos de clientes finales, solo de otras empresas (B2B puro, sin nombres ni contactos personales de consumidores), este nivel de protocolo es excesivo: la LFPDPPP protege datos de personas físicas identificables, no información corporativa agregada. No construyas un sistema de monitoreo de Telegram para proteger un catálogo de precios B2B.

Y la respuesta obvia, "contratemos un seguro de ciberseguridad y ya quedamos cubiertos", es la equivocada si no va acompañada del protocolo. Las aseguradoras en México ya piden evidencia de controles mínimos (MFA, respaldos, EDR) antes de emitir una póliza, como se explicó en este análisis sobre lo que las aseguradoras exigen antes de cubrir un ciberataque; una póliza sin protocolo de respuesta documentado puede no pagar cuando más se necesita, o pagar menos de lo esperado por falta de evidencia de que el incidente se gestionó conforme a lo pactado.

Tampoco asumas que "la culpa es del proveedor" te exime de la obligación de avisar a tus propios titulares. La ley pone la obligación de notificación en el responsable del tratamiento, es decir, en la empresa que recolectó el dato, no en quien lo filtró. Aeroméxico lo entendió así: avisó directamente a sus clientes el 2 de octubre, aunque el origen técnico esté en un tercero.

Qué preguntarle a tu equipo esta semana

No necesitas resolver todo el marco regulatorio en una junta. Necesitas respuestas a tres preguntas concretas: si hoy mismo apareciera una base con los correos de tus clientes en un canal público, ¿quién se entera primero, tu equipo o un periodista? ¿Existe un documento, no una intención verbal, que diga en cuántas horas sale el aviso a los titulares? Y de los proveedores que hoy tocan datos de tus clientes, ¿cuántos tienen cláusula de notificación de incidentes con plazo fijo, y cuántos no la tienen porque nadie revisó ese contrato desde que se firmó? Si la respuesta a cualquiera de las tres te deja pensando, ahí está el proyecto. Si necesitas construir ese protocolo desde cero, en hivek damos soporte continuo y evolución a sistemas ya en operación, incluyendo el seguimiento que exige un incidente de este tipo cuando aparece, no después.

Fuentes

• Buen Gobierno investiga posible filtración de datos de Aeroméxico con más de 15 millones de registros (Infobae, 20 sep. 2026)
• Secretaría Anticorrupción investiga una posible filtración de más de 15 millones de datos de pasajeros de Aeroméxico (El Imparcial, 20 sep. 2026)
• Filtran datos de clientes de Aeroméxico por Telegram: la aerolínea adjudica incidente a un ciberataque del año pasado (Expansión, 21 sep. 2026)
• Aeroméxico amplía revisión de sistemas tras filtración de datos (La Razón, 1 oct. 2026)
• Aeroméxico advirtió a sus clientes sobre la posible exposición de datos personales, incluidos números de pasaporte (Infobae, 2 oct. 2026)
• IMSS, SAT y SHF: SABG detecta fallas en datos personales; estos son los casos (El Imparcial, 2 oct. 2026)
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente
• El valor diario de la UMA será de 117.31 pesos durante 2026 (Yahoo Finanzas / INEGI)