Connecticut llegó a un acuerdo de USD 625.000 con Frontier Communications Parent Inc. por una brecha de datos ocurrida en abril de 2024 y atribuida al grupo de ransomware RansomHub. El fiscal general William Tong anunció el acuerdo el 20 de octubre de 2026, cerrando la investigación estatal sobre el incidente.
La brecha afectó información personal sensible de clientes y fue ejecutada, según se informó, por RansomHub, uno de los grupos de extorsión más activos del último ciclo. Frontier Communications, proveedor de servicios de telecomunicaciones con presencia en varios estados de EE.UU., fue investigada por la oficina del fiscal Tong tras detectarse que los controles existentes no impidieron el acceso no autorizado ni la exfiltración de datos. El monto del acuerdo —USD 625.000— refleja tanto la gravedad del incidente como la posición negociadora del regulador estatal, que en los últimos años ha convertido a Connecticut en una jurisdicción activa en litigios de privacidad.
Datos confirmados del incidente de abril de 2024
- Fecha del incidente: abril de 2024
- Actor atribuido: grupo RansomHub
- Empresa afectada: Frontier Communications Parent Inc.
- Monto del acuerdo: USD 625.000
- Autoridad actuante: Fiscal General de Connecticut, William Tong
- Anuncio del cierre: 20 de octubre de 2026
Qué se sabe y qué falta confirmar sobre el alcance de la exposición
La información publicada confirma que datos personales sensibles fueron comprometidos, pero el volumen exacto de registros afectados y los tipos específicos de información expuesta no fueron detallados en el comunicado oficial disponible. Tampoco se precisó si Frontier realizó notificaciones individuales a los titulares afectados dentro de los plazos exigidos por la legislación de Connecticut —el estado cuenta con requisitos de notificación de brechas bajo su ley de protección al consumidor—, ni si el acuerdo incluye compromisos de remediación técnica u organizacional adicionales al pago monetario.
El caso tiene resonancia directa para América Latina: en Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de un plazo razonable desde la detección del incidente, con posibilidad de multas de hasta el 2% de la facturación local. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) recibe reportes de brechas bajo la Ley 25.326, aunque el marco sancionatorio sigue siendo más acotado que el estadounidense o el europeo. La resolución de Connecticut ilustra que incluso a nivel subnacional, los reguladores de privacidad están dispuestos a litigar y cerrar acuerdos significativos cuando los controles corporativos fallan ante actores de ransomware.
El próximo punto de atención es si el acuerdo incluye un plan de remediación con plazos verificables —detalle que, según se informó, no fue publicado en el comunicado inicial del fiscal Tong.
