Al menos 119 millones de registros de viajeros quedaron expuestos en brechas de datos documentadas en el sector turístico, según un relevamiento publicado por NordVPN. Los datos comprometidos incluyen información de pasaportes, itinerarios, métodos de pago y datos de contacto de personas que utilizaron aerolíneas, hoteles y plataformas de reserva en línea.
El informe de NordVPN, divulgado el 13 de octubre de 2025, sistematiza incidentes registrados en distintas etapas de la cadena turística: desde operadores de viajes y agencias en línea hasta sistemas de fidelización de aerolíneas y aplicaciones de gestión hotelera. La cifra de 119 millones de registros surge de la agregación de múltiples eventos, según se informó, sin que NordVPN atribuya todos los casos a un único actor o campaña coordinada.
Datos confirmados del relevamiento
- 119 millones de registros de viajeros expuestos en total, según NordVPN
- Tipos de datos comprometidos: números de pasaporte, datos de tarjetas de crédito, itinerarios de viaje e información de programas de puntos/millas
- Los sectores afectados incluyen aerolíneas, cadenas hoteleras y plataformas de reserva en línea
- Los incidentes abarcan múltiples jurisdicciones y no se circunscriben a una sola región geográfica
Qué se sabe y qué falta confirmar
Lo confirmado es la magnitud agregada: 119 millones de registros representan una de las acumulaciones más altas reportadas para un único sector productivo. Lo que no está verificado de forma independiente es la atribución precisa de cada incidente, los vectores de ataque en cada caso y si todos los registros corresponden a personas únicas o incluyen duplicados. NordVPN no publicó —al menos en la versión divulgada— el detalle desagregado por empresa o evento, lo que limita la posibilidad de contraste con notificaciones oficiales ante autoridades de control.
Para América Latina, la ausencia de ese detalle es relevante: plataformas de reserva con fuerte presencia regional —como Despegar, con operaciones en Argentina, Brasil, México y Colombia— procesan volúmenes significativos de datos de viajeros latinoamericanos. Si alguna de estas empresas figura entre los incidentes relevados, las obligaciones de notificación difieren por jurisdicción: Brasil exige comunicación a la ANPD y a los titulares en caso de riesgo relevante bajo la Lei Geral de Proteção de Dados (LGPD, Art. 48); Argentina requiere notificación a la AAIP conforme a la Ley 25.326 y su Disposición 9/2015; México activa el protocolo del INAI bajo la LFPDPPP. Ninguna de esas notificaciones es pública hasta el momento de esta publicación, según se informó.
El próximo hito es la eventual publicación del detalle desagregado por parte de NordVPN o la apertura de investigaciones de oficio por parte de autoridades como la ANPD brasileña, que en 2024 formalizó su competencia para actuar ante incidentes transfronterizos.
