El 18 de septiembre, el equipo de ciberseguridad de Aeroméxico dio con un mensaje en Telegram: alguien vendía lo que decía ser la base de clientes de la empresa. La Secretaría Anticorrupción topó con el mismo anuncio mientras hacía un monitoreo forense activo, según informó Xataka México, y lo dio a conocer el 20 de septiembre.
El 2 de octubre la aerolínea notificó a su clientela que ese archivo podría traer su nombre completo, fecha de nacimiento, nacionalidad, número de pasaporte y número de viajero frecuente. Para la Secretaría Anticorrupción y Buen Gobierno, a la que remite IBTimes, el archivo rebasa los 15 millones de registros. Desde marzo de 2025 esa dependencia ejerce las atribuciones de protección de datos del extinto INAI; ahora revisa el caso y puede multar a Aeroméxico hasta con 320,000 veces la Unidad de Medida y Actualización, unos 37.5 millones de pesos por cada infracción.
que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable
La compañía sostiene que no hay indicios de que se hayan afectado datos financieros, ni cuentas bancarias, ni tarjetas de pago, ni contraseñas. Explica que el origen está en un incidente de 2025 en una plataforma que operaba un proveedor externo, dentro de una oleada internacional de ciberataques a empresas de distintos sectores, según el aviso que resumió La Razón.
Lo que había en la muestra y lo que añadió la aerolínea
Según la Secretaría, el archivo ronda 1.10 GB. Sus técnicos analizaron una muestra de 100,092 registros y, de acuerdo con Xataka México, encontraron «nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta». IBTimes agrega que entre ellos había datos de servidores públicos y de figuras públicas. En aquel momento, la dependencia dijo que no estaba acreditado de dónde venía la base y que la información era presuntamente de la aerolínea, de acuerdo con UPI.
El comunicado de Aeroméxico del 2 de octubre es más amplio que la muestra oficial. Suma nacionalidad, género, ruta preferida, número de pasaporte y número de cliente frecuente. IBTimes precisó que los 15 millones corresponden a registros del archivo y no a personas. La empresa mantiene abierta su investigación para saber qué datos pertenecen de verdad a sus clientes y hasta dónde llegó la exposición.
Luego de ubicar el anuncio, la aerolínea extendió el examen a su infraestructura. La Razón consigna que halló condiciones de seguridad mejorables en algunos sistemas propios, aunque dice que no hay pruebas de que hayan puesto en riesgo información. La empresa insiste en que el episodio de 2025 afectó a los sistemas del proveedor y no a los suyos, y que trabaja con él para contenerlo.
El riesgo es la suplantación
Si se confirma que no hay contraseñas ni datos de tarjetas en la base, esta no abre el paso a cuentas ni a dinero. Lo que preocupa a la aerolínea y a la prensa especializada es otra cosa: quien tenga nombre, fecha de nacimiento, correo, teléfono, número de socio y ruta habitual puede armar un mensaje falso a nombre de Aeroméxico con detalles auténticos del cliente. Xataka México explicó que esos datos permiten redactar mensajes fraudulentos creíbles, hacerse pasar por otra persona o lanzar campañas de ingeniería social.
La aerolínea recomendó desconfiar de correos, mensajes y llamadas que pidan información personal, contraseñas o códigos de verificación, no darlos si la solicitud llega sin aviso y comprobar cualquier contacto en los canales oficiales.
Hay un antecedente. En octubre de 2025, el periodista Ignacio Gómez Villaseñor advirtió que Aeroméxico aparecía en una lista de presuntas víctimas del grupo ShinyHunters, que amenazaba con difundir 172.9 GB de información, entre ella datos de pasaportes. Xataka México enlazó esa muestra con ataques a entornos de Salesforce. UPI suma que ese mes la aerolínea padeció un ciberataque que comprometió una base de más de 20 millones de registros.
Qué dice la ley y qué puede imponer Anticorrupción
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares apareció en el Diario Oficial de la Federación el 20 de marzo de 2025 y dejó sin efecto la de 2010. Entregó a la Secretaría Anticorrupción y Buen Gobierno lo que antes hacía el INAI con las empresas privadas: verificar, resolver quejas e imponer sanciones. Los artículos transitorios mandan que el personal del instituto se incorpore a la Secretaría.
Cualquier empresa que maneje datos debe mantener medidas de seguridad administrativas, técnicas y físicas (artículo 18). El artículo 19 ordena que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable». La norma separa a la empresa responsable de los datos de la «persona encargada» que los maneja por su cuenta, caso de un proveedor tecnológico.
Xataka México indica que la Secretaría actúa con las facultades de los artículos 54 y 55, que regulan la verificación. Si detecta un presunto incumplimiento, tiene que abrir un procedimiento sancionador. La empresa dispone de 15 días para aportar pruebas y de cinco más para alegatos; la autoridad debe resolver en los 50 días posteriores al inicio, y ese plazo se puede ampliar una vez.
El monto depende de la falta. Vulnerar la seguridad de las bases de datos «cuando resulte imputable al responsable» o romper el deber de confidencialidad se sanciona con entre 200 y 320,000 UMA. A 117.31 pesos, valor vigente desde el 1 de febrero según el INEGI, eso equivale a un rango de 23,462 pesos a 37.5 millones de pesos.
Puede sumarse otra multa de 100 a 320,000 UMA cuando las infracciones persisten de forma reiterada. Si la falta ocurre al tratar datos sensibles, las sanciones pueden duplicarse. La ley define como sensibles los que tocan la esfera más íntima de la persona, con ejemplos como origen racial o étnico, estado de salud, creencias u opiniones políticas; esos rubros no figuran entre los campos que describe la aerolínea. Para determinar la sanción, la Secretaría debe pesar la naturaleza del dato, si la conducta fue intencional, la capacidad económica del responsable y si hay reincidencia.
Pendientes: el fallo de la Secretaría y la investigación interna
Las fuentes consultadas no indican que la Secretaría haya terminado la verificación ni iniciado un procedimiento de sanción. Aeroméxico sigue investigando para comprobar si la base es auténtica, de dónde salió y a cuántas personas afecta en realidad.
La vía administrativa no es la única. El artículo 53 faculta a los afectados a reclamar indemnización por los daños que cause el incumplimiento, y el artículo 61 aclara que las sanciones se aplican sin perjuicio de la responsabilidad civil o penal. El artículo 62 contempla de tres meses a tres años de cárcel para quien, estando autorizado a tratar datos personales, provoque con ánimo de lucro una vulneración de las bases que tiene bajo su resguardo.