Aeroméxico advirtió a sus clientes sobre la posible exposición de datos personales, incluidos números de pasaporte

Aeroméxico confirmó la posible exposición de datos personales de sus clientes, incluidos números de pasaporte. El área de ciberseguridad de la empresa detectó el hallazgo el 18 de septiembre de 2026, cuando identificó una publicación en Telegram en la que un tercero ofrecía en venta una supuesta base de datos de la aerolínea.

La compañía vinculó el caso con un evento de seguridad ocurrido en 2025 en una plataforma administrada por un proveedor externo, dentro de una campaña internacional de ciberataques contra empresas de distintos sectores. La aerolínea informó el hecho a sus clientes mediante un comunicado oficial y aseguró que sus operaciones continúan con normalidad.

El hallazgo en Telegram que encendió las alertas

El área de ciberseguridad de Aeroméxico realizaba tareas rutinarias de monitoreo cuando detectó la publicación sospechosa. Un usuario de Telegram ofrecía ilícitamente una base de datos atribuida a la compañía, según el comunicado difundido por la aerolínea.

La Secretaría Anticorrupción y Buen Gobierno (SABG) reportó posteriormente la misma situación. El organismo, que encabeza Raquel Buenrostro, informó el hallazgo mediante su Comunicado No. 111, fechado el 20 de septiembre de 2026.

Según detalló la dependencia, la publicación en Telegram ofrecía una base con más de 15 millones de registros. El archivo pesaba aproximadamente 1,10 GB, de acuerdo con el comunicado oficial de la SABG.

La Secretaría obtuvo una muestra de 100.092 registros con los mismos campos reportados en la publicación original. Entre esos datos, la dependencia identificó nombres de diversas personas, incluidas servidoras públicas y figuras públicas, aunque no detalló identidades específicas.

Aeroméxico inició de inmediato una investigación interna para verificar la autenticidad de la información ofrecida. La compañía buscó determinar el origen del material y establecer el alcance de cualquier posible afectación a sus clientes.

Como parte de esas labores, la aerolínea verificó que la información ofrecida estaba relacionada con el incidente de 2025 en la plataforma del proveedor externo. La empresa precisó que dichos incidentes no afectaron su infraestructura tecnológica ni sus sistemas propios.

Qué datos personales quedaron potencialmente expuestos

El comunicado de Aeroméxico detalló qué tipo de información podría haber quedado comprometida. Entre los datos potencialmente involucrados figuran:

• nombre completo.
• fecha de nacimiento.
• nacionalidad.
• género.

La lista también incluyó:

• correo electrónico.
• número telefónico.
• nombre de ruta preferida.
• número de pasaporte.
• número de cliente.

Los datos del número de pasaporte y de cliente frecuente involucrados en la posible filtración forman parte del grupo de información más sensible identificado, según el comunicado de Aeroméxico. La aerolínea descartó, en cambio, cualquier afectación a datos financieros de sus usuarios.

La compañía precisó que no se advierte afectación en cuentas bancarias ni en tarjetas de pago de los clientes. Tampoco se identificó exposición de contraseñas relacionadas con el programa de lealtad Aeroméxico Rewards.

La SABG, por su parte, describió los campos localizados en la muestra analizada. El organismo mencionó nombre completo, correo electrónico, teléfono, celular, fecha de nacimiento y fecha de alta como la información identificada en los registros revisados.

La dependencia aclaró que, hasta el momento de su comunicado, no existía una confirmación oficial de Aeroméxico sobre el origen o la validez total de la base ofrecida. La autoridad tampoco había establecido el número final de personas afectadas por el posible incidente.

La respuesta de la aerolínea y el papel del proveedor externo

Aeroméxico mantuvo actividades de monitoreo, seguimiento y revisión desde el incidente identificado en 2025. Esas labores permanentes derivaron en la detección de la publicación en Telegram el 18 de septiembre de 2026.

La compañía amplió sus investigaciones para verificar con mayor precisión la relación entre el material ofrecido y el evento ocurrido en la infraestructura del proveedor externo durante 2025. La aerolínea mantuvo activos sus protocolos de respuesta en coordinación con ese proveedor.

La empresa se comprometió a colaborar con las autoridades competentes para esclarecer los hechos. Aeroméxico indicó que esa colaboración busca contribuir también a la determinación de responsabilidades correspondientes.

Como parte de su estrategia de transparencia, la aerolínea realizó una evaluación integral de sus sistemas e infraestructura tecnológica. El objetivo de esa revisión fue identificar oportunidades adicionales para reforzar sus controles de seguridad.

La evaluación detectó determinadas condiciones de seguridad susceptibles de fortalecimiento en algunos sistemas propios de la empresa. La compañía aclaró que, con base en la investigación realizada hasta ese momento, no se identificó evidencia de que esas condiciones hubieran comprometido información de clientes.

La SABG, por su lado, fundamentó su eventual procedimiento en la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. La dependencia citó los artículos 54 y 55 de ese ordenamiento como base de sus facultades de verificación.

El organismo subrayó que el objetivo del eventual procedimiento será determinar la presunta responsabilidad sobre las bases de datos comprometidas. La Secretaría precisó que, por el momento, no se había señalado a ninguna persona física o moral como responsable definitiva del incidente.

La dependencia encabezada por Buenrostro también investigaba, de manera paralela, la presunta venta de 12,9 millones de registros personales en posesión de distintos centros telefónicos. Ese caso se originó en una publicación distinta difundida en Telegram el 22 de septiembre, según informó la SABG.

Las recomendaciones de seguridad para los clientes afectados

Aeroméxico recomendó a sus clientes no proporcionar información personal, contraseñas ni códigos de verificación ante llamadas o mensajes no solicitados. La aerolínea pidió verificar la autenticidad de cualquier comunicación exclusivamente a través de sus canales oficiales.

¿Por qué advirtió Aeroméxico a sus clientes sobre la exposición de sus datos? La aerolínea detectó el 18 de septiembre de 2026 una oferta ilícita de venta de una base de datos vinculada a un incidente de 2025 en un proveedor externo, por lo que emitió el aviso preventivo para que los usuarios resguardaran su información ante posibles intentos de fraude.

La compañía habilitó una sección específica en su sitio web oficial para mantener informados a los clientes. En ese espacio, la aerolínea ofrece actualizaciones del caso y preguntas frecuentes sobre la situación.

La empresa reiteró que sus operaciones y servicios continúan con normalidad pese al incidente reportado. Aeroméxico lamentó la preocupación que la situación pudiera generar entre sus usuarios y agradeció su confianza en la gestión del caso.