La exposición de datos personales de clientes de empresas, bancos y cadenas comerciales en México dejó de ser un riesgo aislado para convertirse en una amenaza creciente. Los recientes incidentes que involucran a Aeroméxico, Grupo Xcaret y diversas instituciones financieras evidencian las debilidades de los sistemas de protección de información, mientras que el uso de inteligencia artificial (IA) por parte de grupos delictivos aumenta la velocidad y el alcance de los ataques.
El problema no se limita al robo de bases de datos. La información sustraída puede terminar en mercados ilegales y utilizarse para cometer fraudes, suplantar identidades, engañar a clientes o acceder a cuentas personales y financieras.
A este escenario se suma una preocupación: los delincuentes están incorporando herramientas de IA para identificar vulnerabilidades, adaptar sus estrategias y ejecutar intrusiones en tiempos cada vez menores.
MÁS DE CIEN FILTRACIONES EN SIETE SEMANAS
Las cifras muestran la dimensión del problema. De acuerdo con un monitoreo realizado por la firma de ciberseguridad IQSEC durante el primer semestre de 2026, en México se identificaron 116 víctimas y 101 filtraciones de información en un periodo de siete semanas.
La actividad detectada alcanzó 26 entidades del país y 11 sectores económicos, lo que refleja que las amenazas digitales no están concentradas en una sola industria ni representan un riesgo exclusivo para las grandes corporaciones.
En una muestra de 13 mil archivos se encontraron referencias a empresas como Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX y Liverpool.
También aparecieron nombres de cadenas comerciales e instituciones como Sam’s Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana.
Sin embargo, es importante precisar que la aparición de registros relacionados con estas compañías no demuestra, por sí misma, que todas hayan sufrido una vulneración directa de sus sistemas. La distinción es relevante para evitar conclusiones que no están respaldadas por la evidencia disponible.
AEROMÉXICO Y XCARET, ENTRE LOS CASOS RECIENTES
Dos incidentes recientes colocaron nuevamente la protección de datos personales en el centro de la discusión.
Grupo Xcaret informó que una falla en sus sistemas permitió la extracción de información de aproximadamente 8 mil 300 clientes. Por su parte, Aeroméxico reconoció que datos de sus usuarios fueron sustraídos.
A estos casos se suma una investigación de la Secretaría Anticorrupción y Buen Gobierno sobre la presunta comercialización de 12.9 millones de registros personales atribuidos a centros de contacto.
La acumulación de estos episodios plantea cuestionamientos sobre los mecanismos de seguridad que utilizan las empresas para almacenar y administrar información, así como sobre la supervisión de terceros que tienen acceso a bases de datos de clientes.
El riesgo aumenta cuando las organizaciones concentran grandes cantidades de información personal sin contar con controles suficientes para impedir accesos no autorizados o detectar actividades sospechosas.
LA INTELIGENCIA ARTIFICIAL CAMBIA LA VELOCIDAD DE LOS ATAQUES
El uso de IA está modificando la forma en que operan los ciberdelincuentes. Un reporte de Kaspersky advierte que algunos grupos ya utilizan estas herramientas para comprometer cuentas administrativas y extraer información sensible de instituciones educativas en América Latina y África en menos de una hora.
Claudio Martinelli, director general para las Américas de Kaspersky, explicó que la tecnología permite a los atacantes tomar decisiones y modificar sus estrategias dentro de las redes en tiempo real.
No obstante, aclaró que la sofisticación tecnológica no significa que hayan desaparecido los métodos tradicionales. El robo de contraseñas, la exploración de sistemas vulnerables y la extracción de información continúan siendo parte de las principales técnicas empleadas.
En ese sentido, Guillermo Garza, CEO de Ozaru y Púrpura AI, advirtió que el mayor peligro no radica necesariamente en que una inteligencia artificial actúe de manera autónoma, sino en que personas con conocimientos tecnológicos utilicen estas herramientas para cometer delitos.
El especialista señaló que una persona con conocimientos técnicos y malas intenciones puede dirigir ataques contra bancos, instituciones de salud y empresas que concentran información sensible de clientes o proveedores.
También alertó sobre la evolución de los modelos de IA más avanzados, algunos de los cuales comienzan a superar mecanismos de seguridad diseñados para mantenerlos bajo control.
EMPRESAS SIGUEN VIENDO LA CIBERSEGURIDAD COMO UN GASTO
Más allá de la tecnología utilizada por los delincuentes, los especialistas advierten que una parte importante del problema está relacionada con la falta de prevención dentro de las organizaciones.
Fidel Delgado, coordinador de Ciberseguridad, Análisis de Datos y Forense en Salles Sainz Grant Thornton, señaló que la inteligencia artificial también facilita la suplantación de identidad y otras actividades que alimentan los mercados ilegales de información.
El especialista consideró indispensable que las compañías fortalezcan sus filtros de seguridad, especialmente cuando contratan proveedores externos para administrar o procesar datos de sus clientes.
Uno de los principales obstáculos, explicó, es que algunas empresas siguen considerando la ciberseguridad como un gasto operativo y no como una inversión necesaria para proteger su infraestructura y la confianza de sus usuarios.
Esta situación se refleja en el uso de herramientas de protección insuficientes, como versiones gratuitas de antivirus que no necesariamente ofrecen las capacidades requeridas para enfrentar amenazas como el ransomware y el phishing.
La falta de presupuesto preventivo puede terminar generando costos mayores cuando ocurre una filtración: pérdida de información, interrupciones operativas, afectaciones económicas y daños a la reputación de las compañías.
PROTEGER LOS DATOS TAMBIÉN ES RESPONSABILIDAD DE LAS EMPRESAS
Ante el crecimiento de las amenazas digitales, los especialistas recomiendan que las organizaciones refuercen la vigilancia de sus sistemas, implementen protocolos de respuesta ante incidentes y desarrollen mecanismos que permitan mantener sus operaciones incluso cuando sus servidores resulten comprometidos.
También resulta necesario revisar los permisos de acceso a información sensible, supervisar a los proveedores externos y actualizar constantemente las herramientas de protección.
El desafío es mayor porque los datos personales se han convertido en un recurso valioso para las redes delictivas. Un número telefónico, una dirección de correo electrónico o información relacionada con una cuenta pueden servir como punto de partida para engaños más elaborados.
En este contexto, las recientes filtraciones dejan una lección que va más allá de la capacidad tecnológica de los delincuentes: proteger la información de los usuarios no puede depender únicamente de reaccionar después de un ataque.
Las empresas que recopilan y almacenan datos personales tienen la responsabilidad de adoptar medidas preventivas, transparentar los incidentes y responder ante las personas afectadas. De lo contrario, los clientes seguirán asumiendo buena parte de las consecuencias de fallas de seguridad que no están bajo su control.
