Mediante un aviso difundido el 2 de octubre, Aeroméxico informó a su clientela que una base de datos ofrecida en Telegram podría incluir nombre completo, fecha de nacimiento, nacionalidad, número de pasaporte y número de viajero frecuente. De acuerdo con la Secretaría Anticorrupción y Buen Gobierno, según recoge IBTimes, el archivo rebasa los 15 millones de registros. Desde marzo de 2025 esa dependencia ejerce las atribuciones en materia de protección de datos que correspondían al extinto INAI; verifica el caso y está facultada para imponer a la aerolínea una multa de hasta 320,000 veces la Unidad de Medida y Actualización, equivalentes a unos 37.5 millones de pesos por infracción.
La empresa sostiene que no se advierte afectación de datos financieros, como cuentas bancarias o tarjetas de pago, ni de contraseñas. Ubica el origen en un incidente de 2025 sobre una plataforma a cargo de un proveedor externo, en el marco de una campaña internacional de ciberataques dirigida a compañías de diversos sectores, conforme al aviso que reseñó La Razón.
que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable
Detección y primeras diligencias
El 18 de septiembre, el área de ciberseguridad de Aeroméxico encontró en Telegram un mensaje en el que un tercero ponía a la venta lo que describía como la base de clientes de la compañía. La Secretaría Anticorrupción dio con esa misma publicación en un monitoreo activo forense, de acuerdo con Xataka México, y la divulgó el 20 de septiembre.
La dependencia estima el peso del archivo en cerca de 1.10 GB. Sus técnicos extrajeron una muestra de 100,092 registros, que según Xataka México contenía «nombres completos, direcciones de correo electrónico, teléfonos, números celulares, fechas de nacimiento y fechas de alta». IBTimes añade que la muestra comprendía además registros de servidores públicos y de figuras públicas. Entonces la Secretaría señaló que no estaba establecido el origen de la base y calificó la información como presuntamente atribuible a la aerolínea, según UPI.
El aviso del 2 de octubre incorpora campos que la muestra oficial no listaba: nacionalidad, género, ruta preferida, número de pasaporte y número de cliente frecuente. IBTimes precisó que los 15 millones corresponden a registros dentro del archivo y no a personas. La aerolínea indicó que mantiene abierta su indagatoria para determinar qué información pertenece de verdad a sus clientes y cuál es el alcance de la exposición.
Una vez localizada la publicación, la compañía extendió el examen a su propia infraestructura. La Razón consigna que halló condiciones de seguridad susceptibles de reforzarse en ciertos sistemas internos, si bien la empresa afirma que hasta el momento no existe evidencia de que hayan comprometido información. Agregó que el incidente de 2025 no alcanzó sus sistemas sino los del proveedor, con quien coordina tareas de contención.
Usos posibles de los datos expuestos
Si se confirma que la base carece de contraseñas y de datos de tarjetas, no permite el acceso directo a cuentas ni a recursos económicos. El riesgo que señalan la aerolínea y la prensa especializada es la suplantación: con nombre, fecha de nacimiento, correo, teléfono, número de socio y ruta habitual, un mensaje apócrifo a nombre de Aeroméxico puede integrar información verdadera del cliente. Xataka México explicó que datos de esa clase sirven para redactar mensajes fraudulentos verosímiles, usurpar identidades o armar campañas de ingeniería social.
La aerolínea recomendó a sus clientes mantenerse atentos ante correos, mensajes y llamadas que requieran información personal, contraseñas o códigos de verificación, abstenerse de entregarlos frente a solicitudes inesperadas y cotejar cualquier comunicación en sus canales oficiales.
Hay un precedente que incide en la estimación del alcance. En octubre de 2025, el periodista Ignacio Gómez Villaseñor advirtió que Aeroméxico aparecía en un listado de presuntas víctimas del grupo ShinyHunters, que amenazaba con divulgar 172.9 GB de información, entre ella datos de pasaportes; Xataka México relacionó aquella muestra con ataques a entornos de Salesforce. Según UPI, en ese mismo mes la aerolínea padeció un ciberataque que afectó una base de más de 20 millones de registros.
Marco normativo y atribuciones sancionadoras
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares apareció en el Diario Oficial de la Federación el 20 de marzo de 2025 y abrogó el ordenamiento de 2010. Transfirió a la Secretaría Anticorrupción y Buen Gobierno las funciones de verificar, resolver quejas y sancionar a empresas privadas, que antes correspondían al INAI. Conforme a sus artículos transitorios, el personal del instituto se integra a la Secretaría.
El artículo 18 impone a todo ente que trata datos el deber de conservar medidas de seguridad administrativas, técnicas y físicas. El artículo 19 dispone que las vulneraciones «que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares le serán informadas de forma inmediata por el responsable». La ley separa a la empresa responsable de los datos de la «persona encargada» que los trata por cuenta de aquella, como sucede con un proveedor tecnológico.
Según Xataka México, la Secretaría se apoya en los artículos 54 y 55, que rigen el procedimiento de verificación. Ante un presunto incumplimiento debe abrir un procedimiento de sanción: la empresa dispone de 15 días para ofrecer pruebas y de cinco más para alegatos, y la autoridad ha de resolver en los 50 días posteriores al inicio, término que puede prorrogar por una sola vez.
La cuantía de las multas varía según la infracción. Vulnerar la seguridad de las bases de datos «cuando resulte imputable al responsable» y quebrantar el deber de confidencialidad se sancionan con 200 a 320,000 UMA. Con el valor vigente desde el 1 de febrero, de 117.31 pesos de acuerdo con el INEGI, el intervalo va de 23,462 pesos a 37.5 millones de pesos. Cuando las infracciones se repiten de manera reiterada, cabe una multa adicional de 100 a 320,000 UMA. Si la conducta ocurre en el tratamiento de datos sensibles, las sanciones pueden aumentar hasta dos veces los montos; la ley entiende por tales los que afectan la esfera más íntima de la persona y los ejemplifica con origen racial o étnico, estado de salud, creencias u opiniones políticas, y ninguno figura entre los campos que describe la aerolínea. Al fijar la sanción, la Secretaría debe ponderar la naturaleza del dato, el carácter intencional o no de la conducta, la capacidad económica del responsable y la reincidencia.
Estado del procedimiento
Las fuentes consultadas no reportan que la Secretaría haya concluido la verificación ni iniciado un procedimiento sancionador. Aeroméxico continúa su investigación para acreditar la autenticidad de la base, su procedencia y el número efectivo de personas afectadas.
Las multas administrativas no excluyen otras vías. El artículo 53 faculta a los afectados a reclamar una indemnización por los daños derivados del incumplimiento, y el artículo 61 puntualiza que las sanciones se aplican sin perjuicio de la responsabilidad civil o penal. El artículo 62 contempla de tres meses a tres años de prisión para quien, estando autorizado a tratar datos personales, cause con ánimo de lucro una vulneración de las bases que custodia.
