El organismo regulador del cine de India, conocido como CBFC (Central Board of Film Certification), sufrió una brecha de datos que expuso más de 500 títulos cinematográficos —incluyendo guiones de películas aún no estrenadas— según informó CyberSecurityNews el 26 de octubre de 2025.
El incidente afecta a uno de los archivos culturales y comerciales más sensibles de la industria del entretenimiento: los materiales pre-estreno sometidos a censura. Según se informó, los datos comprometidos incluyen títulos de producciones inéditas y guiones completos que el organismo recibe de manera obligatoria como parte del proceso de certificación. No se ha confirmado públicamente el vector de ataque ni el actor responsable de la exfiltración.
Datos confirmados: 500+ títulos, guiones y materiales de certificación
- Más de 500 títulos cinematográficos expuestos, según se informó.
- Guiones de películas sin estrenar comprometidos en la brecha.
- El organismo afectado es la CBFC, autoridad estatal india de certificación cinematográfica.
- La divulgación fue reportada el 26 de octubre de 2025.
- No se ha confirmado oficialmente el método de acceso ni el volumen total de registros afectados.
Qué se sabe y qué falta confirmar en el caso CBFC
Lo confirmado es la exposición de títulos y material de producción bajo resguardo del organismo estatal. Lo que permanece sin verificar incluye: si hubo exfiltración activa o solo acceso no autorizado, si los datos estuvieron expuestos públicamente o fueron vendidos en foros cerrados, y si productoras o estudios ya fueron notificados. La CBFC no ha emitido, según se informó, una declaración oficial al cierre de esta nota. Tampoco se conoce si el incidente activa obligaciones de notificación bajo la normativa india de protección de datos —la Digital Personal Data Protection Act (DPDPA) de 2023—, cuya implementación reglamentaria aún está en proceso.
El caso tiene resonancia para la región: en América Latina, organismos estatales que reciben y custodian propiedad intelectual privada —como los registros de la dirección de cinematografía en Argentina o el IMCINE en México— operan en un marco de obligaciones de seguridad dispar. Bajo la Ley 25.326 argentina, la exposición de datos por parte de un organismo público puede derivar en actuaciones de la AAIP; en México, la LFPDPPP aplica al sector privado, mientras que el sector público se rige por lineamientos del INAI con alcance distinto. En Brasil, la LGPD cubre tanto a actores públicos como privados y la ANPD tiene competencia para investigar incidentes de este tipo.
El próximo hito crítico es la publicación de la reglamentación definitiva de la DPDPA india, que determinará si la CBFC tenía un plazo formal de notificación obligatoria y si el incidente genera responsabilidad institucional concreta.
