Dodo Pizza, cadena rusa de pizzerías con operaciones en más de 20 países, confirmó un ciberataque a sus sistemas y admitió que atacantes pudieron haber accedido a datos personales de una parte de su base de clientes. Grupos de hackers afirman que la exposición alcanza 68 millones de registros, aunque la empresa no confirmó esa cifra.
Según se informó, la compañía notificó el incidente a Roskomnadzor, la autoridad rusa de control de comunicaciones y datos, y declaró haber bloqueado el acceso no autorizado a sus sistemas. El reporte fue publicado el 29 de septiembre de 2026. Los datos potencialmente comprometidos incluyen información personal de clientes registrados en la plataforma de pedidos de la cadena, aunque Dodo Pizza no detalló públicamente qué categorías de datos estuvieron expuestas más allá de señalar que se trataría de “una porción” de su base de usuarios.
Datos confirmados por la empresa al 29 de septiembre
- Dodo Pizza confirmó el ataque a sus sistemas de IT.
- La compañía reconoció posible acceso a datos personales de clientes.
- El incidente fue reportado a Roskomnadzor, autoridad de control rusa.
- El acceso no autorizado fue bloqueado, según declaraciones de la empresa.
- Hackers reivindican la exfiltración de 68 millones de registros de usuarios, cifra no verificada de forma independiente.
Qué se sabe y qué falta confirmar sobre el alcance real
La brecha confirmada por la empresa y la cifra reclamada por los atacantes distan significativamente. Dodo Pizza habló de “una porción” de su base de clientes, mientras que los responsables del ataque sostienen que la exfiltración suma 68 millones de cuentas. Hasta el momento no existe validación independiente del volumen real ni se ha identificado públicamente al grupo responsable. Tampoco se precisó si los datos incluyen contraseñas, información de pago u otros campos sensibles, ni en qué países operativos de la cadena —fuera de Rusia— podrían verse afectados clientes.
El caso tiene relevancia directa para América Latina: Dodo Pizza opera o ha operado en mercados como Kazajistán, Azerbaiyán y varios países de Europa del Este, y su modelo de expansión por franquicias implica que distintas jurisdicciones podrían estar sujetas a marcos legales diferentes. Si hubiera clientes en Brasil, por ejemplo, el incidente activaría las obligaciones de notificación establecidas en el artículo 48 de la Lei Geral de Proteção de Dados (LGPD), que exige comunicar a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados en un plazo razonable. En Argentina, la Ley 25.326 de Protección de Datos Personales contempla el deber de reportar brechas a la Agencia de Acceso a la Información Pública (AAIP), aunque el reglamento aún carece de un plazo explícito equivalente al de 72 horas del RGPD europeo.
El próximo hito crítico es la divulgación del inventario de datos comprometidos: sin esa información, ni usuarios ni reguladores pueden determinar la magnitud real del incidente ni activar los mecanismos de respuesta que correspondan.
