Un archivo de 1.10 GB ofrecido en Telegram

El 18 de septiembre de 2026 apareció en Telegram una oferta de venta de un archivo de 1.10 GB que contendría más de 15 millones de registros de clientes de Aeroméxico. Dos días después, la Secretaría Anticorrupción y Buen Gobierno, autoridad que en México vigila la protección de datos personales en posesión de particulares desde la extinción del INAI, informó que había abierto una investigación. Según lo reportado por Proceso, La Jornada y La Razón, la dependencia detectó la oferta mediante monitoreo, obtuvo una muestra de 100,092 registros y encontró en ella nombre completo, correo electrónico, teléfonos, fecha de nacimiento y fecha de alta, además de nombres de servidores públicos y figuras públicas. Fundó su actuación en los artículos 54 y 55 de la ley y en su reglamento interior.


Aeroméxico señaló que inició una investigación exhaustiva para verificar la autenticidad y el alcance de la información, que no había identificado exposición de datos financieros, de tarjetas de pago ni de contraseñas, y que cooperaría con la autoridad. Esa es la medida exacta de lo que se sabe. La Secretaría habló de un sistema "posiblemente relacionado" con la aerolínea; no hay, en las fuentes consultadas, una resolución que determine el origen, la autenticidad total del archivo ni a quién sería imputable una eventual vulneración. Hablamos de una investigación en curso, no de una sanción, y el caso debe leerse con el presuntamente por delante.


Por qué una base grande es también una base atractiva

Aun sin conclusiones, el episodio sirve para discutir una relación que cualquier organización que trata datos de personas conoce de manera intuitiva pero pocas veces formaliza: la sensibilidad y el volumen de lo acumulado deberían guardar proporción con el rigor de la protección. Una base con millones de registros de contacto y fecha de nacimiento no contiene números de tarjeta, y sin embargo resulta útil para la suplantación, el fraude telefónico o la ingeniería social, porque permite construir un perfil verosímil de una persona real.


Importa separar dos preguntas que suelen mezclarse. La primera es cuánta información es razonable recolectar y conservar, un asunto de finalidad y proporcionalidad. La segunda es qué protección corresponde a la información que efectivamente se recolectó, un asunto de arquitectura y de controles. Una empresa puede tener una política de recolección impecable y estar expuesta si el control técnico sobre esos datos no está a la altura de lo que significa perderlos; y puede tener buenos controles sobre una base que nunca debió crecer tanto.


No es un episodio aislado en el radar de la autoridad. La propia Secretaría informó, según reportó Latinus en enero de 2026, de 20 investigaciones por vulneraciones de datos personales en dependencias y particulares, y advirtió sobre los riesgos de usar sistemas de gestión de contenidos de licencia libre con complementos y plantillas sin controles de seguridad adecuados. Y apenas unos días después del caso de la aerolínea, la dependencia investigó la presunta venta en Telegram de 12.9 millones de registros que podrían provenir de bases vinculadas con centros de llamadas, con una muestra de 13,000 registros en 13 bases distintas. Los reportes de prensa mencionan nombres de empresas que aparecen en la muestra, pero la propia Secretaría subrayó que no están confirmadas como responsables.


Qué exige la LFPDPPP y qué no resuelve por sí sola

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en el texto consolidado de la Cámara de Diputados con última reforma del 14 de noviembre de 2025, aborda el asunto en tres niveles. El artículo 18 obliga a todo responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado. No distingue entre datos que fueron recabados con razón y datos que no: proteger es una obligación que existe de manera independiente de la legitimidad de la recolección. El artículo 20 añade controles para que quienes intervienen en el tratamiento guarden confidencialidad.


El artículo 19 trata de las vulneraciones de seguridad en cualquier fase del tratamiento. Establece que las que afecten de forma significativa los derechos patrimoniales o morales de las personas titulares deberán serles informadas de forma inmediata por el responsable. El umbral es la afectación significativa, y la apreciación inicial corresponde al responsable, con la posibilidad de que la autoridad la revise. Que Aeroméxico haya señalado que no identificó datos financieros ni contraseñas es una información relevante para esa valoración, pero la ley no fija un catálogo de datos que activen o no el aviso, y no corresponde a este análisis concluir si se cumple.


El régimen sancionador completa el cuadro. El artículo 58, fracción XI, tipifica como infracción vulnerar la seguridad de bases de datos, locales, programas o equipos "cuando resulte imputable al responsable". La precisión es importante: que una base circule no equivale por sí mismo a una infracción, hay que determinar a quién es atribuible. El artículo 59 prevé multas expresadas en veces la Unidad de Medida y Actualización, que según el grupo de infracciones llegan a 320,000 veces su valor y pueden incrementarse cuando se trata de datos sensibles. Persisten además dos pendientes de contexto: el reglamento actualizado de la ley no ha sido publicado, por lo que el de 2011 se aplica de manera supletoria, y la propia Secretaría ha anunciado propuestas para reformar el marco, según Latinus.


Los límites de este paralelismo

Conviene ser preciso sobre lo que este caso puede enseñar. Es una investigación abierta hace semanas, sobre una base de clientes de una aerolínea, no de datos de selección de personal, y ninguna fuente consultada atribuye causas técnicas concretas ni permite concluir que fallaran controles específicos. Tampoco corresponde extrapolar al sector aéreo ni a ninguna industria. Lo que ofrece de manera durable es un ejemplo verificable, con autoridad competente y empresa que han hablado, de una pregunta que toda organización debería hacerse: qué estamos guardando, cuánto, durante cuánto tiempo, y quién responde si sale de donde no debía.

Las normas técnicas orientan sin obligar por sí solas. ISO/IEC 27001:2022 para la gestión de seguridad de la información y ISO/IEC 27701:2025 para privacidad, que sustituyó a la edición de 2019 retirada en octubre de 2025, son estándares voluntarios, exigibles solo si un contrato, una certificación asumida o una regulación sectorial lo determinan.


Qué significa para la gestión de riesgo de personas

Para las áreas de Compliance, Seguridad de la Información y Recursos Humanos que diseñan o contratan procesos de verificación de personas, la lección es práctica. Cada dato que se decide conservar, sea una copia de identificación, un campo adicional o un periodo de retención más largo del necesario, no es neutral: aumenta lo que hay que proteger y exige, en proporción, un control acorde. Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, y no como vigilancia, incluye también decidir qué información sobre las personas se recaba, con qué finalidad y por cuánto tiempo. "Guardar menos y acotar lo que se guarda a lo que la función y la finalidad justifican no limita un proceso de verificación; es la forma más directa de reducir lo que hay para perder", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol, el riesgo y la exposición de cada posición, sin que esto implique que garantice la seguridad de los sistemas de sus clientes, que su práctica haya evitado o pudiera evitar incidentes como el aquí descrito, ni que sustituya el deber de cada responsable de cumplir con la ley.


Una pregunta sobre lo que ya se tiene

En México la discusión sobre datos personales suele centrarse en qué se puede pedir a las personas. El caso invita a mirar también hacia dentro: qué acumuló ya la organización, quién tiene acceso, cuánto de eso sigue siendo necesario y qué pasaría, y quién lo explicaría, si un archivo con esos registros apareciera mañana en una plataforma de mensajería.


Fuentes y marco normativo consultado

• Proceso, "Secretaría Anticorrupción investiga presunta filtración de datos personales de Aeroméxico" (20 de septiembre de 2026)

• La Jornada, "Investigan supuesta filtración de datos de más de 15 millones de clientes de Aeroméxico" (20 de septiembre de 2026)

• La Razón, "Buen Gobierno detecta filtración de millones de datos personales de sistema de Aeroméxico" (20 de septiembre de 2026), sobre los fundamentos citados por la Secretaría

• El Informador y Crónica, notas sobre la investigación de la Secretaría Anticorrupción y Buen Gobierno por la presunta venta de 12.9 millones de registros en Telegram (24 de septiembre de 2026); comunicado de la Secretaría reproducido por la prensa, sin confirmación de responsables

• Latinus, "Secretaría Anticorrupción confirma 20 investigaciones por la vulneración de datos personales en dependencias y particulares" (12 de enero de 2026)

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto consolidado de la Cámara de Diputados (última reforma DOF 14-11-2025), arts. 18, 19, 20, 54, 55, 58 fracción XI y 59

• Reglamento de la LFPDPPP de 2011, aplicable de forma supletoria mientras el reglamento actualizado sigue pendiente de publicación; Decreto publicado en el Diario Oficial de la Federación el 20 de marzo de 2025 que transfirió la competencia a la Secretaría Anticorrupción y Buen Gobierno

• ISO/IEC 27001:2022 e ISO/IEC 27701:2025 (esta última sustituyó a la edición 2019, retirada el 14 de octubre de 2025); estándares voluntarios salvo requisito contractual o sectorial

• Validato, descripción de servicios de Background Screening y Human Risk Management estructurados por rol: https://validato.ch/mx-es/human-risk