Aeroméxico emitió una alerta dirigida a sus clientes ante la posible exposición de datos personales, según se informó el 2 de octubre de 2025. La aerolínea mexicana, una de las mayores de América Latina, no ha confirmado el alcance exacto del incidente ni el número de registros comprometidos.
La compañía notificó a sus usuarios sobre un posible incidente de seguridad que habría derivado en la exposición de información personal. Según se informó, entre los datos que podrían estar afectados figuran nombre completo, dirección de correo electrónico, número telefónico y, potencialmente, información vinculada al programa de viajero frecuente Club Premier. Aeroméxico no precisó la fecha exacta en que detectó el incidente ni el vector de ataque utilizado. La información se conoció a través de comunicaciones enviadas a clientes y fue amplificada por medios especializados en la región.
Datos confirmados y puntos sin verificar
- Actor afectado: Aeroméxico, aerolínea de bandera mexicana con operaciones en toda la región.
- Tipo de datos en riesgo: nombre, correo electrónico, teléfono y posiblemente datos del programa Club Premier, según se informó.
- Origen del incidente: no confirmado públicamente por la empresa al momento de esta publicación.
- Número de registros afectados: sin cifra oficial disponible.
- Fecha de detección interna: no divulgada.
Lo que permanece sin verificar es si el incidente involucra a un tercero proveedor o si la brecha se originó en sistemas propios de la aerolínea. Tampoco hay confirmación sobre si los datos ya circulan en foros de acceso no autorizado. Aeroméxico no publicó, hasta el cierre de esta nota, un comunicado oficial con los detalles técnicos del evento ni mencionó si contrató servicios forenses externos para la investigación.
Marco legal aplicable: LFPDPPP y plazos del INAI
En México, el incidente activa obligaciones precisas bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento. Aeroméxico, como responsable del tratamiento, está obligada a notificar a los titulares afectados de forma inmediata y en lenguaje comprensible, conforme al artículo 20 de esa ley. Además, debe evaluar si el incidente debe reportarse al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), autoridad de control en México. El INAI puede iniciar un procedimiento de verificación de oficio si determina que la empresa no cumplió con los estándares de seguridad exigidos por el artículo 19 de la LFPDPPP, que obliga a implementar medidas administrativas, técnicas y físicas adecuadas al nivel de riesgo de los datos tratados. Para una aerolínea que procesa volúmenes significativos de datos de viajeros —incluyendo información de pagos e itinerarios— el estándar de cuidado exigido es elevado. En Colombia, Argentina y Brasil, incidentes análogos han generado investigaciones formales de las autoridades sectoriales: la SIC, la AAIP y la ANPD, respectivamente, han ampliado en los últimos dos años su capacidad de respuesta ante brechas en el sector transporte y turismo.
El próximo hito crítico es la notificación formal al INAI: si Aeroméxico no acredita haber comunicado el incidente a los titulares y a la autoridad en los plazos que establece la LFPDPPP, queda expuesta a un procedimiento sancionatorio que puede derivar en multa y medidas correctivas de cumplimiento obligatorio.
