LATAM Airlines confirmó una intrusión en sus sistemas informáticos y advirtió sobre la posible exposición de datos de pasajeros, según se informó el 20 de agosto de 2026. La aerolínea, con operaciones en Argentina, Brasil, Chile, Colombia, Ecuador y Perú, es uno de los transportistas aéreos más grandes de América Latina.
La compañía informó públicamente sobre el incidente sin precisar, hasta el momento del anuncio, el volumen exacto de registros potencialmente comprometidos ni los tipos de datos personales afectados. Tampoco se confirmó si la intrusión derivó en una exfiltración efectiva de información o si el acceso no autorizado fue contenido antes de que los datos salieran de los sistemas internos. La notificación fue divulgada por medios uruguayos y regionales, lo que sugiere que el aviso alcanzó a pasajeros de múltiples países del cono sur.
Datos confirmados al momento del cierre
- Actor afectado: LATAM Airlines, aerolínea con presencia en al menos seis países de América del Sur.
- Tipo de incidente: intrusión confirmada en sistemas internos, según comunicación de la propia empresa.
- Datos en riesgo: información de pasajeros, naturaleza específica no confirmada al momento de la publicación.
- Fecha del anuncio público: 20 de agosto de 2026.
- Exfiltración: no confirmada al cierre de esta edición.
Qué se sabe y qué falta confirmar sobre la brecha
Lo que está confirmado es la intrusión y la comunicación pública de LATAM sobre el riesgo de exposición. Lo que aún no está verificado es el alcance real del compromiso: cuántos pasajeros se vieron afectados, en qué países, qué campos de datos estuvieron expuestos —si incluyen documentos de identidad, datos de pago, historial de vuelos o datos de contacto— y si existe un actor de amenaza identificado. Tampoco trascendió si las autoridades de protección de datos de los países donde LATAM opera fueron notificadas de forma formal.
En términos regulatorios, el incidente activa obligaciones distintas según la jurisdicción. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada en un plazo razonable cuando existe riesgo relevante para los titulares. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) puede requerir reporte bajo la Ley 25.326 y la Disposición AAIP 4/2019. Chile avanza en la aplicación de su nueva Ley 21.719 de protección de datos personales, vigente desde 2024, que también contempla notificación a la autoridad ante incidentes. En Colombia, la Superintendencia de Industria y Comercio (SIC) tiene competencia sobre el tratamiento de datos de clientes de aerolíneas que operen en el país.
El próximo hito crítico es la notificación formal a las autoridades de control en cada jurisdicción: los plazos —que van de 72 horas en marcos más estrictos a términos más amplios en legislaciones nacionales— ya están corriendo desde el momento en que LATAM tomó conocimiento de la intrusión.
