Una base de datos ofrecida en Telegram podría contener el nombre completo, la nacionalidad, la fecha de nacimiento, el número de pasaporte y el de viajero frecuente de clientes de Aeroméxico, advirtió la aerolínea el 2 de octubre. El archivo suma más de 15 millones de registros, según la Secretaría Anticorrupción y Buen Gobierno que cita IBTimes.
Desde marzo de 2025, la Secretaría asumió la protección de datos personales que antes correspondía al extinto INAI. Ahora analiza el caso. La sanción máxima por infracción asciende a 320,000 veces la Unidad de Medida y Actualización, equivalente a unos 37.5 millones de pesos.
nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta
Según la empresa, no se aprecian daños en información financiera, como cuentas de banco o tarjetas de pago, ni en claves de acceso. Atribuye el origen a un incidente de 2025 en una plataforma bajo administración de un proveedor externo, ocurrido durante una ola internacional de ataques informáticos a compañías de distintos giros, de acuerdo con el aviso que reseñó La Razón.
Cómo apareció la base
Especialistas en ciberseguridad de Aeroméxico dieron el 18 de septiembre con un mensaje en Telegram: un tercero vendía lo que presentaba como el padrón de clientes de la aerolínea. La Secretaría Anticorrupción localizó ese mismo mensaje mediante un monitoreo activo forense y lo divulgó el 20 de septiembre, informó Xataka México.
La dependencia calcula que el archivo ocupa cerca de 1.10 GB. Obtuvo una muestra de 100,092 registros. Xataka México reportó que contenía «nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta». Según IBTimes, entre los datos aparecían también personas del servicio público y figuras públicas.
En ese momento la Secretaría dijo que aún no se había establecido de dónde venía la base, y la presentó como información presuntamente atribuible a la aerolínea, reportó UPI.
El comunicado de Aeroméxico del 2 de octubre mencionó más campos posibles que la muestra oficial: género, nacionalidad, ruta preferida, número de pasaporte y número de cliente frecuente. IBTimes precisó que los 15 millones son registros dentro del archivo y no personas. La investigación de la aerolínea sigue abierta; busca saber qué información corresponde en realidad a sus clientes y hasta dónde llega la exposición.
Tras hallar el mensaje, la compañía revisó con más amplitud su infraestructura. La Razón informó que detectó, en algunos sistemas propios, condiciones de seguridad susceptibles de reforzarse, aunque sostiene que no tiene pruebas de que hayan comprometido datos. También afirmó que el incidente de 2025 golpeó a los sistemas del proveedor, no a los suyos, y que trabaja con él para contenerlo.
Qué riesgo implican los datos
Sin contraseñas ni datos de tarjetas, la base no abre acceso directo a cuentas ni a dinero, siempre que eso se confirme. El peligro que describen la aerolínea y medios especializados es el de la suplantación de identidad: quien reúna nombre, fecha de nacimiento, correo, teléfono, número de socio y ruta habitual puede redactar un mensaje falso a nombre de Aeroméxico con datos verdaderos del destinatario. Xataka México explicó que esa información sirve para armar mensajes fraudulentos convincentes, hacerse pasar por otra persona o montar campañas de ingeniería social.
Aeroméxico pidió a los clientes estar alerta ante correos, mensajes y llamadas en los que se les requieran datos personales, claves o códigos de verificación. Les recomendó no entregarlos ante peticiones inesperadas y verificar cualquier contacto en los canales oficiales de la empresa.
Existe un precedente. En octubre de 2025, el periodista Ignacio Gómez Villaseñor alertó de que Aeroméxico figuraba entre las presuntas víctimas del grupo ShinyHunters, que amenazaba con publicar 172.9 GB de información, entre ella datos de pasaportes, según Xataka México. Ese medio vinculó la muestra con ataques contra entornos de Salesforce. UPI añade que la aerolínea sufrió ese mes un ataque informático que comprometió una base con más de 20 millones de registros.
Lo que establece la ley
El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la de 2010. Con ella, la Secretaría Anticorrupción y Buen Gobierno recibió las funciones que tenía el INAI frente a empresas privadas: verificar, atender quejas y sancionar. Los transitorios disponen que los trabajadores del instituto se incorporen a esa dependencia.
Toda empresa que maneje datos debe aplicar medidas de seguridad administrativas, técnicas y físicas, según el artículo 18. El artículo 19 señala que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable». La ley separa al responsable de los datos de la «persona encargada» que los procesa en su nombre, caso de un proveedor tecnológico.
Con base en los artículos 54 y 55, que rigen el procedimiento de verificación, la Secretaría ejerce sus atribuciones, según Xataka México. De detectar un posible incumplimiento tendría que iniciar un procedimiento sancionador. La empresa contaría con 15 días para ofrecer pruebas y cinco más para alegatos. La autoridad debe resolver en un máximo de 50 días a partir del inicio, y puede prorrogarlos en una ocasión.
El monto de las multas depende de la falta. Quien vulnere la seguridad de las bases «cuando resulte imputable al responsable», o incumpla el deber de confidencialidad, recibe de 200 a 320,000 UMA. Desde el 1 de febrero la UMA vale 117.31 pesos, de acuerdo con el INEGI, de modo que la sanción oscila entre 23,462 pesos y 37.5 millones de pesos.
Cuando las infracciones continúan de forma reiterada, la autoridad puede añadir una multa de 100 a 320,000 UMA. Si ocurren al tratar datos sensibles, las sanciones podrían llegar al doble de esos montos. La ley entiende por datos sensibles los que tocan el ámbito más íntimo del titular, como el origen racial o étnico, la salud, las creencias o las opiniones políticas, y ninguno de esos rubros aparece en los campos que la aerolínea enumeró. Al fijar la multa, la Secretaría debe ponderar qué tipo de dato se trata, si hubo intención, qué capacidad económica tiene el responsable y si es reincidente.
Las multas administrativas no cierran otros caminos. Según el artículo 53, los afectados pueden exigir indemnización por los daños que cause el incumplimiento; el artículo 61 precisa que las sanciones no excluyen la responsabilidad civil o penal. El artículo 62 prevé prisión de tres meses a tres años para quien tenga autorización de tratar datos personales y, buscando lucro, vulnere las bases que custodia.
Qué sigue
Infox consultó las fuentes disponibles y ninguna informa que la Secretaría haya concluido la verificación o abierto un procedimiento sancionador. Aeroméxico mantiene su investigación para confirmar si la base es auténtica, de dónde viene y cuántas personas resultaron realmente afectadas.