Autoridades rusas detuvieron a tres presuntos integrantes del grupo de hackers DataSuckers tras un ciberataque a la cadena de comida rápida Dodo Pizza que expuso datos de clientes a gran escala. Un tribunal de Moscú ordenó el miércoles 15 de octubre arresto domiciliario para Denis Fridman, de 19 años, hasta el 8 de diciembre, según se informó.
El caso se originó en el ataque a Dodo Pizza, una cadena de restaurantes de alcance internacional con presencia en varios países de Europa del Este y Asia Central. Según se informó, la brecha expuso cantidades significativas de información de clientes, aunque el volumen exacto de registros comprometidos no fue confirmado públicamente por las autoridades rusas al cierre de esta nota. La detención de Fridman fue reportada por Daryna Antoniuk para DataBreaches.net, con base en la resolución del tribunal moscovita.
DataSuckers: un grupo con víctimas en Rusia y Ucrania
DataSuckers habría estado activo en operaciones que afectaron a organizaciones tanto en Rusia como en Ucrania, lo que convierte este caso en un episodio inusual: la persecución penal dentro del propio territorio ruso de actores que también operaron contra objetivos ucranianos. La coexistencia de víctimas en ambos países no es un detalle menor en el contexto del conflicto en curso, aunque las autoridades no precisaron si las investigaciones sobre los ataques en Ucrania forman parte del expediente judicial abierto en Moscú.
Datos confirmados y estado del proceso
- Tres personas detenidas, presuntos miembros de DataSuckers, según se informó.
- Denis Fridman, 19 años, bajo arresto domiciliario hasta el 8 de diciembre de 2026.
- El tribunal que dictó la medida cautelar tiene sede en Moscú.
- El ataque afectó a Dodo Pizza, cadena con operaciones en múltiples países.
- El grupo es vinculado a brechas en organizaciones rusas y ucranianas.
- Volumen de registros expuestos: no confirmado oficialmente.
Qué se sabe: un tribunal dictó medidas cautelares, al menos un imputado está identificado con nombre y edad, y el ataque a Dodo Pizza es el disparador procesal. Qué falta confirmar: la identidad de los otros dos detenidos, los cargos formales, el alcance real de la brecha en términos de registros y categorías de datos afectados, y si existe coordinación con autoridades de otros países donde Dodo Pizza opera. Tampoco está confirmado si los atacantes tenían motivación económica, política o una combinación de ambas.
Para las organizaciones con operaciones en América Latina que manejan datos de clientes en escala similar —cadenas de retail, plataformas de delivery, restaurantes con programas de fidelización—, el caso reitera una brecha de gobernanza frecuente: la ausencia de clasificación formal de datos de clientes y controles de acceso granulares que permitan detectar exfiltración masiva antes de que se materialice el daño. En jurisdicciones como Brasil, la Lei Geral de Proteção de Dados (LGPD) obliga a notificar a la Autoridade Nacional de Proteção de Dados (ANPD) dentro de un plazo razonable tras tomar conocimiento de un incidente; en Argentina, la Ley 25.326 y las disposiciones de la AAIP imponen obligaciones similares. El incumplimiento de esos plazos agrava la exposición regulatoria más allá del daño reputacional.
El próximo hito procesal es el 8 de diciembre, fecha límite del arresto domiciliario de Fridman, cuando el tribunal deberá resolver si extiende la medida o avanza hacia una imputación formal.
