Una base de datos con millones de registros de pasajeros a la venta en Telegram. Mensajes de texto que cobran reservaciones que nunca existieron. Las filtraciones de 2026 en México tienen algo en común: no exponen tarjetas ni contraseñas, sino algo que parece inofensivo, como tu nombre, tu teléfono y tu correo. Con eso, los delincuentes pueden armar un engaño creíble. Especialistas advierten que el uso de inteligencia artificial por parte de los delincuentes amenaza con multiplicar la suplantación de identidad y el fraude.
¿Qué pasó con la filtración de datos de Aeroméxico?
La Secretaría Anticorrupción y Buen Gobierno ubicó el 18 de septiembre de 2026 una publicación en Telegram que ofrecía una base de datos con más de 15 millones de registros y un peso de 1.10 gigabytes. La dependencia anunció que abriría de oficio una investigación para determinar responsabilidades.
Aeroméxico explicó que la información estaría ligada a un incidente de seguridad de 2025 en una plataforma administrada por uno de sus proveedores externos. Según sus hallazgos preliminares, los datos se habrían obtenido en octubre de ese año, en medio de una campaña internacional de ciberataques contra empresas de varios sectores.
¿Qué datos de los clientes quedaron expuestos?
La aerolínea confirmó que se vulneraron nombres y teléfonos y, en algunos casos, fechas de nacimiento y correos electrónicos. Aseguró que no detecta afectación de datos financieros, como cuentas o tarjetas, ni de las contraseñas de su programa de lealtad. La revisión, sin embargo, identificó condiciones de seguridad que debían reforzarse en algunos sistemas propios de la empresa.
¿Qué pasó con Xcaret?
Grupo Xcaret informó una vulneración en sus sistemas de venta de parques que permitió extraer la información de contacto de unos 8 mil 300 clientes. Los datos extraídos fueron correos electrónicos y números de celular, y la empresa aseguró que no se comprometieron cuentas bancarias ni datos de tarjetas. El grupo precisó que el incidente representa una fracción mínima de sus registros del año.
El riesgo inmediato son los cobros falsos. Xcaret alertó sobre correos y mensajes de texto que intentan cobrar reservaciones a su nombre y aclaró que nunca envía ligas de cobro por SMS. Sus únicos canales oficiales de ventas son reservaciones@xcaret.com, reservations@xcaret.com y cotizaciones@xcaret.com.
¿Mis datos bancarios están en riesgo?
En los dos casos confirmados, las empresas descartaron la exposición de tarjetas. Pero el problema no se limita a ellas. La Secretaría Anticorrupción también investigó la presunta venta de 12.9 millones de registros personales atribuidos a centros de contacto.
En una muestra de 13 mil archivos analizados aparecieron referencias a bancos como BBVA, Banorte, Santander, HSBC y Banamex, y a tiendas como Liverpool y Soriana, aunque eso no confirma que cada empresa haya sufrido una intrusión directa. Es una distinción importante: que el nombre de tu banco aparezca en una base filtrada no significa que el banco haya sido hackeado.
¿Cuántas filtraciones hay en México?
La firma de ciberseguridad IQSEC documentó 116 víctimas y 101 filtraciones en solo siete semanas de monitoreo durante el primer semestre de 2026, en 26 entidades y 11 sectores económicos.
El efecto se ve en las quejas. Entre enero y mayo de 2026, la Condusef recibió 35 mil 762 reclamaciones por posibles fraudes, un aumento de 18.95%. Los métodos más señalados incluyen mensajes de texto, enlaces falsos, sitios apócrifos, suplantación de identidad, redes sociales y aplicaciones maliciosas.
¿Cómo usan los delincuentes tus datos filtrados?
Un nombre, un teléfono y una reservación real son la materia prima de la ingeniería social: el delincuente no necesita tu contraseña si consigue que tú se la des. En el caso de Xcaret, los mensajes mencionan una supuesta reservación, un pago pendiente o el riesgo de perder la compra para generar confianza y urgencia.
¿Qué papel juega la inteligencia artificial?
Claudio Martinelli, director para las Américas de Kaspersky, explicó que la IA acelera los ataques, aunque estos siguen basándose en técnicas conocidas como el robo de contraseñas y la extracción de datos. Fidel Delgado, de Salles Sainz Grant Thornton, coincidió en que la IA facilita la suplantación y pidió a las empresas reforzar controles cuando delegan datos de clientes a proveedores externos.
¿Cómo identificar un mensaje fraudulento?
Estas señales se repiten en la mayoría de los engaños:
- Urgencia: “tu reservación se cancelará hoy” o “tu cuenta será bloqueada”.
- Ligas de pago por SMS o WhatsApp: Xcaret, por ejemplo, ya aclaró que no las usa.
- Remitentes que casi coinciden: dominios con una letra cambiada o terminaciones extrañas.
- Petición de códigos: tu banco no debe pedirte por teléfono el código que te llega por SMS, tu NIP ni tu contraseña.
- Datos reales mezclados con una solicitud rara: que conozcan tu nombre o tu vuelo no prueba que sean la empresa.
¿Qué hacer para proteger tus cuentas y tus datos?
- Activa la verificación en dos pasos en tu correo, banca y redes sociales.
- Cambia la contraseña del servicio afectado y de cualquier cuenta donde la repitas.
- Activa las notificaciones de movimientos en tu app bancaria.
- Ante una duda, cuelga y llama tú al número oficial de la tarjeta o del sitio web de la empresa.
- Si ya fuiste víctima, contacta de inmediato a tu banco, cambia contraseñas, revisa tus movimientos y presenta una queja en el portal de fraudes de la Condusef o ante la Policía Cibernética.
¿Qué sigue tras las filtraciones?
Las filtraciones de 2026 dejan una lección: los datos robados no caducan. En el caso de Aeroméxico, la información sustraída en 2025 reapareció a la venta casi un año después. Lo próximo será el resultado de las investigaciones de la Secretaría Anticorrupción sobre Aeroméxico y las bases de los centros de contacto. Mientras tanto, la recomendación práctica es tratar cualquier mensaje inesperado que pida dinero o códigos como sospechoso, aunque mencione datos tuyos que sean reales.
Preguntas frecuentes
¿Qué datos se filtraron de Aeroméxico?
Nombres y teléfonos, y en algunos casos fechas de nacimiento y correos. La aerolínea descartó datos bancarios y contraseñas.
¿Cuántos clientes de Xcaret fueron afectados?
Unos 8 mil 300, cuyos correos y celulares fueron extraídos.
¿Xcaret cobra por mensaje de texto?
No. La empresa aclaró que nunca envía ligas de cobro por SMS.
¿Mi banco fue hackeado si aparece en una base filtrada?
No necesariamente: la aparición de un nombre en una base no confirma una intrusión directa.
¿Dónde denuncio un fraude?
Con tu banco de inmediato, en el portal de fraudes de la Condusef y ante la Policía Cibernética.
Fuentes consultadas
- El Financiero – IA y filtraciones
- El Financiero – Aeroméxico
- Expansión – Aeroméxico
- La Razón – Aeroméxico
- Tribuna de México
- El Financiero – Xcaret
- Crónica – Xcaret
- El Imparcial – Condusef
- Xataka México
Si quieres saber más de Muere Regina Torné, Mamá Elena de Como agua para chocolate: qué pasó con su hija, leer aquí.
