La plataforma de cursos Hotmart avisó a sus usuarios, 32 días después, de un acceso no autorizado a sus datos

Hotmart, la plataforma brasileña de venta de cursos y productos digitales, comenzó a avisar a sus usuarios que un tercero accedió sin autorización a sus sistemas. La empresa dice que lo detectó el 12 de octubre de 2026 y que los correos individuales llegaron el 13 de noviembre, 32 días después.

Según los avisos que reprodujeron varios medios, los datos involucrados incluyen el nombre, la dirección de correo electrónico y el volumen transaccional de cada usuario, es decir, cuánto dinero mueve en la plataforma. Hotmart afirmó que no hubo movimientos indebidos de dinero.

Los correos no coinciden del todo entre sí. El que recibió OREPORTER.COM menciona además información sobre el dispositivo utilizado. Bit Notícias, otro medio brasileño que analizó un comunicado, habló de teléfono, medio de pago y datos de uso de la plataforma. Hotmart dijo que revisó los registros para determinar qué información correspondía a cada persona.

Hotmart no informó cuántos usuarios fueron afectados, cómo ocurrió el acceso ni si los datos fueron copiados por el tercero. Tampoco aclaró si se expusieron contraseñas o números completos de tarjetas. Revista C-level señaló que el aviso que analizó no menciona contraseñas ni credenciales bancarias, pero que otros usuarios podrían haber recibido listas distintas.

Qué hizo la empresa tras detectar el acceso

En el correo, Hotmart sostiene que bloqueó al tercero, reemplazó credenciales y restringió la creación de nuevos accesos. Agregó que ya contaba con autenticación de múltiples factores, monitoreo de sistemas, controles de acceso y pruebas de intrusión, y que informó a la autoridad brasileña de protección de datos (ANPD) dentro del plazo legal.

En un comunicado enviado a OREPORTER.COM, la compañía dijo que fue “alvo de un incidente de segurança” (blanco de un incidente de seguridad), que investigó las circunstancias y que la plataforma sigue funcionando con normalidad. Aseguró que no hubo impactos financieros.

Revista C-level informó que el aviso alcanza también a usuarios de Teachable, la plataforma estadounidense de cursos que Hotmart adquirió en 2020. Hotmart no publicó una aclaración sobre ese punto en las fuentes consultadas.

El plazo de aviso, en cuestión

Bit Notícias recordó que la resolución 15 de 2024 de la ANPD, que reglamenta la ley brasileña de protección de datos, exige comunicar a la autoridad y a los titulares los incidentes que puedan causar riesgo o daño relevante en un máximo de tres días hábiles, con excepciones. Hotmart sostiene que avisó a la ANPD a tiempo.

Hotmart justificó la demora con los usuarios por el análisis de registros necesario para identificar los datos de cada persona. El medio señaló que aún no hay elementos para concluir si la empresa incumplió la norma. Usuarios publicaron quejas en el sitio Reclame Aqui y uno de ellos dijo haber presentado una denuncia ante la ANPD.

Hotmart fue fundada en Belo Horizonte en 2011 y tiene sede en Ámsterdam. En abril de 2021, la propia empresa informó que había alcanzado 26 millones de usuarios y ventas en más de 188 países, con filiales en Brasil, México, Colombia y España, entre otros. No publicó cifras más recientes en las fuentes consultadas.

Entre los riesgos que la compañía enumeró figuran mensajes falsos en nombre de Hotmart o de bancos, pedidos de actualización de datos, ofertas fraudulentas de crédito y solicitudes de contraseñas o códigos. Aclaró que son posibilidades, no fraudes confirmados. Recomienda no abrir enlaces ni adjuntos sospechosos y revisar los extractos bancarios.

Para consultas, Hotmart habilitó el correo privacy.support@hotmart.com. La empresa no informó cuántas personas resultaron afectadas ni anunció nuevas comunicaciones sobre el caso.