Madison Square Garden recibe demanda masiva: 26 millones de personas afectadas por filtración de datos biométricos

Madison Square Garden enfrentó una demanda colectiva en Nueva York por una presunta filtración que habría expuesto datos personales y biométricos de hasta 26 millones de personas, un caso que amplió el debate sobre el uso de reconocimiento facial en recintos deportivos y sobre la capacidad de esas empresas para resguardar información.

La dimensión del problema coincidió con una alarma más amplia en el sector. Un informe reciente de Darktrace, una empresa de ciberseguridad, concluyó que la industria deportiva se convirtió en uno de los blancos de los ataques informáticos.

Según ese relevamiento, basado en una encuesta entre profesionales de seguridad tecnológica de organizaciones deportivas de Estados Unidos, Reino Unido, Australia y Alemania, el 84% dijo haber sufrido al menos un incidente cibernético en el último año.

Según The New York Times, la demanda fue presentada esta semana en un tribunal federal de Nueva York contra Madison Square Garden Entertainment, la empresa propietaria del recinto. La querella llegó después de que el grupo de ciberdelincuentes ShinyHunters afirmara haber accedido a sistemas internos de la compañía y obtenido más de 42 gigabytes de información.

La acción judicial sostuvo que entre los datos presuntamente robados hubo registros obtenidos a través de sistemas de reconocimiento facial utilizados en el estadio desde 2018. También mencionó números de Seguro Social, historiales de verificación de antecedentes, calificaciones crediticias y otros archivos personales de visitantes.

Según el sitio especializado Biometric Update, medio especializado en biometría, ShinyHunters afirmó haber sustraído información equivalente a 45 gigabytes y vinculada a 26 millones de visitas a recintos de la compañía.

El demandante principal es Carlos Avalo, quien aseguró que sus datos pudieron haber sido recopilados cuando asistió a un concierto en septiembre de 2025. Aunque la empresa todavía no lo notificó oficialmente, afirmó que tuvo motivos para creer que su información integró los archivos comprometidos y dijo temer un posible uso indebido.

Hay cinco demandas federales abiertas por la misma presunta intrusión

La presentación de Avalo no quedó aislada. Desde que se conoció la supuesta intrusión, fueron registradas otras cuatro demandas colectivas similares, con un total de cinco procesos vinculados con el mismo incidente; algunos también incluyeron como demandada a Madison Square Garden Sports.

Ese es el núcleo del caso: los demandantes sostuvieron que la empresa reunió y almacenó datos, incluida información biométrica, y que no adoptó medidas suficientes para protegerlos. También afirmaron que la respuesta de la compañía después de que trascendiera el presunto ataque informático fue insuficiente.

Según Biometric Update, la demanda se presentó como Avalo v. MSG Entertainment y apuntó a una presunta falta de resguardo de servidores que almacenaban información.

El mismo medio indicó que, entre los materiales mencionados en informes sobre el caso, figuraban registros de seguimiento biométrico, además de información vinculada a verificaciones de antecedentes y datos de evaluaciones de amenazas en internet.

Los abogados del caso remarcaron además que la compañía mantuvo esas prácticas pese a antecedentes de incidentes de ciberseguridad.

La demanda buscó indemnizaciones por daños reales y compensatorios, restitución económica, intereses y honorarios legales para una clase potencialmente compuesta por millones de personas.

Darktrace describió un escenario en el que las organizaciones deportivas enfrentaron más ataques, con impactos que excedieron la interrupción de eventos. Según ese reporte, el riesgo se extendió a sistemas de operación y a plataformas digitales asociadas a la experiencia de los asistentes, un punto que los demandantes citaron para reforzar la idea de que el sector debía extremar medidas de protección cuando manejaba datos.

El uso de reconocimiento facial ya había generado críticas públicas

La querella recuperó una controversia previa sobre la política tecnológica del recinto. En 2023, el uso de reconocimiento facial en el Madison Square Garden fue cuestionado por defensores de la privacidad y por autoridades estatales, incluida la fiscal general de Nueva York Letitia James.

Según un comunicado difundido por la oficina de James, la fiscal general envió una carta a Madison Square Garden Entertainment para requerir información sobre el uso de reconocimiento facial. El documento advirtió que la política de negar el ingreso a personas con entradas válidas podía implicar tensiones con normas de derechos civiles y de derechos humanos del estado.

Las críticas se intensificaron después de que la empresa utilizara ese sistema para identificar y expulsar de eventos a abogados vinculados con estudios jurídicos que mantenían litigios activos contra la compañía.

Ese antecedente apareció ahora como parte del contexto de una causa que puso el foco no solo en la filtración, sino también en el volumen y la naturaleza de la información recopilada.

Entre los ejemplos de datos que circulan en internet, citados en la demanda, aparecieron evaluaciones internas de riesgo sobre celebridades y asistentes frecuentes al recinto. El documento mencionó que el actor Ben Stiller, reconocido aficionado de los Knicks, figuraba como de “bajo riesgo”, mientras que el rapero A Boogie wit da Hoodie aparecía catalogado como de “alto riesgo”.

Según The New York Times, los demandantes reclamaron una compensación mínima de USD 5.000.000, aunque el monto final podría ser mucho mayor.

El diario indicó que, mientras avanzan las causas, el presunto hackeo amenazó con convertirse en uno de los mayores episodios de exposición de datos asociado a una instalación deportiva en Estados Unidos, en un contexto en el que el reconocimiento facial ya era objeto de cuestionamientos públicos y regulatorios.

Según la organización Fight for the Future, organización de defensa de derechos digitales, varios medios informaron que parte del material atribuido al ataque incluyó archivos internos vinculados con el sistema de reconocimiento facial y con el seguimiento de críticos de esa política.

Ese señalamiento se sumó a la discusión sobre el alcance de los datos que una empresa privada puede reunir sobre asistentes y la capacidad de protegerlos cuando quedan almacenados en sistemas internos.