DataTrends LATAM

Categoría: Privacidad

  • Burger King Japón confirma brecha de datos: 11,18 millones de registros expuestos

    Burger King Japón confirma brecha de datos: 11,18 millones de registros expuestos

    Burger King Japón confirmó una brecha de datos que expuso información de 11,18 millones de clientes, en uno de los incidentes de mayor escala registrados en la industria de comida rápida en Asia. La compañía reconoció el compromiso de registros de su base de clientes, según se informó el 19 de octubre de 2025.

    El incidente fue divulgado públicamente por la filial japonesa de la cadena de hamburguesas, que opera de forma independiente bajo licencia. Según se informó, los datos afectados corresponden a registros de clientes almacenados en sus sistemas, aunque la naturaleza exacta de los campos comprometidos —nombres, correos electrónicos, historial de pedidos, datos de pago— no fue detallada en su totalidad en la confirmación inicial. La magnitud del evento, 11,18 millones de registros, lo posiciona como un incidente de notificación obligatoria bajo la Ley de Protección de Información Personal (APPI) de Japón, que desde su reforma de 2022 exige reporte a la Comisión de Protección de Información Personal (PPC) y a los afectados cuando se superan los 1.000 registros comprometidos.

    Datos confirmados del incidente

    • Registros expuestos: 11,18 millones
    • Entidad afectada: Burger King Japón (operadora local bajo licencia)
    • Fecha de divulgación pública: 19 de octubre de 2025
    • Marco regulatorio aplicable: APPI (Japón) — umbral de notificación: más de 1.000 registros
    • Estado de la investigación: en curso, según se informó

    Qué se sabe y qué falta confirmar

    Lo confirmado es la cifra total de registros afectados y el origen del incidente en los sistemas de la compañía. Lo que aún no ha sido verificado públicamente incluye el vector de ataque —intrusión externa, acceso indebido interno, o configuración incorrecta de infraestructura—, la tipología exacta de datos comprometidos, y si los registros ya circulan en foros de compraventa de datos. Tampoco se ha confirmado si existe superposición con datos de programas de fidelización o métodos de pago activos. La ausencia de estos detalles es relevante: según el tipo de dato expuesto, las obligaciones de mitigación y comunicación a titulares varían sustancialmente bajo la APPI.

    Para equipos de gobernanza de datos en la región, el caso ilustra un patrón que también es frecuente en cadenas franquiciadas en América Latina: la tensión entre el control de datos de la casa matriz y la operación local que actúa como controlador efectivo. En Argentina, la Ley 25.326 obliga a quien “trata” los datos —en este caso la franquiciada local— a notificar a la Agencia de Acceso a la Información Pública (AAIP) ante brechas de seguridad. En Brasil, la LGPD establece un plazo de notificación a la ANPD de “plazo razonable”, interpretado en la práctica como 72 horas para incidentes de alto riesgo. En México, la LFPDPPP no fija un plazo explícito, pero el INAI ha emitido criterios que apuntan a la notificación inmediata cuando hay riesgo para los titulares.

    El próximo hito a monitorear es la resolución formal de la PPC japonesa sobre el cumplimiento del deber de notificación, cuyo plazo reglamentario bajo la APPI reformada vence en los días inmediatos a la confirmación del incidente.

  • SBI: 3.897 registros de clientes expuestos en una brecha de datos

    SBI: 3.897 registros de clientes expuestos en una brecha de datos

    El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad de datos. El banco, uno de los más grandes del mundo por activos y número de cuentahabientes, no precisó públicamente la fecha exacta del evento ni el vector de ataque utilizado.

    El incidente fue reportado el 21 de octubre de 2025 por el medio especializado InvestyWise. Según la información disponible, los registros comprometidos corresponden a clientes del banco estatal indio, aunque al momento de publicación no se habían detallado los tipos de datos afectados —si incluyen información de identidad, datos financieros o credenciales de acceso— ni la forma en que se produjo la exfiltración. SBI no emitió una declaración pública detallada según las fuentes consultadas.

    Datos confirmados sobre los 3.897 registros

    • Entidad afectada: State Bank of India (SBI), banco estatal con presencia en más de 30 países.
    • Registros expuestos: 3.897, según se informó.
    • Fecha de reporte público: 21 de octubre de 2025.
    • Tipo de datos comprometidos: no confirmado públicamente a la fecha.
    • Vector de ataque: no divulgado.
    • Notificación a regulador: no confirmada en fuentes disponibles.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que existió una exposición de registros y que el número reportado —3.897— es relativamente acotado para una institución del tamaño de SBI, que gestiona más de 500 millones de cuentas activas. Lo que permanece sin verificar es si se trató de una exfiltración activa por un actor externo, un error de configuración en sistemas propios o una exposición por terceros en la cadena de proveedores. Tampoco se confirmó si los clientes afectados recibieron notificación individual, ni si el Banco de la Reserva de India (RBI) fue informado en los plazos que exige la normativa local. El silencio institucional en las primeras horas de un incidente de este tipo suele ser indicador de que la investigación forense aún está en curso o de que el banco evalúa el alcance real antes de comunicar.

    Para los equipos de protección de datos en América Latina, el caso es relevante por analogía regulatoria. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige que la Autoridade Nacional de Proteção de Dados (ANPD) sea notificada de incidentes que puedan causar riesgo relevante a los titulares en un plazo razonable —interpretado operativamente como 72 horas en la mayoría de los planes de respuesta adoptados por las grandes instituciones financieras. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) exige notificación bajo la Ley 25.326 y su Disposición 11/2006, con criterios que también aplican a sucursales o corresponsales de bancos extranjeros que traten datos de ciudadanos argentinos. En México, el INAI y la CNBV tienen competencias concurrentes en incidentes que afecten a clientes de entidades financieras bajo la LFPDPPP.

    El próximo hito a seguir es la posible comunicación formal de SBI a su regulador bancario y de datos, cuya ventana —según estándares internacionales— vence en las próximas horas si aún no se ha producido.

  • SBI: 3.897 registros de clientes expuestos en brecha de datos confirmada

    SBI: 3.897 registros de clientes expuestos en brecha de datos confirmada

    El State Bank of India (SBI) confirmó la exposición de 3.897 registros de clientes que contenían información personal, según informó Business Viewpoint Magazine el 23 de octubre de 2025. El incidente representa uno de los compromisos de datos más recientes que involucra a una institución financiera de escala sistémica.

    Según se informó, los registros expuestos contienen datos personales de clientes del banco estatal indio, aunque al cierre de esta nota no se había detallado públicamente qué tipos de campos específicos —nombre, número de cuenta, documento de identidad, datos de contacto— estaban incluidos en el conjunto afectado. Tampoco se confirmó el vector de ataque ni si la exposición se produjo por acceso no autorizado externo, error de configuración interno o un tercero proveedor.

    Datos confirmados sobre el incidente

    • Registros expuestos: 3.897 (dato confirmado por la fuente)
    • Tipo de datos: información personal de clientes del SBI
    • Institución afectada: State Bank of India, banco público con presencia en más de 50 países
    • Fecha de reporte público: 23 de octubre de 2025
    • Vector de exposición: no confirmado al momento de publicación

    Qué se sabe y qué falta confirmar

    Lo confirmado es la cifra de registros y la naturaleza personal de los datos involucrados. Lo que permanece sin verificar incluye si el SBI notificó a los titulares afectados, si se activaron protocolos de respuesta ante incidentes conforme a la normativa india —la Digital Personal Data Protection Act de 2023 establece obligaciones de notificación al regulador y a los titulares, aunque su reglamentación aún está en proceso—, y si existe algún actor externo identificado como responsable. Tampoco hay confirmación sobre si los datos llegaron a circular en foros de filtración o mercados clandestinos.

    Para las instituciones financieras de América Latina con operaciones o corresponsalía con bancos de escala global, el caso refuerza la necesidad de revisar los controles sobre datos de clientes compartidos con terceros. En Brasil, la Lei Geral de Proteção de Dados (LGPD) exige notificación a la ANPD “em prazo razoável” ante incidentes de seguridad que puedan acarrear riesgo relevante a los titulares. En Argentina, la Ley 25.326 y las disposiciones de la AAIP contemplan obligaciones similares, aunque con umbrales distintos. En México, el INAI ha sancionado a entidades financieras por no notificar brechas en tiempo y forma bajo la LFPDPPP. Un incidente con menos de 4.000 registros puede parecer menor, pero si los datos incluyen información sensible —credenciales, datos financieros, documentos de identidad—, activa los mismos umbrales de notificación que una brecha masiva en prácticamente todos los marcos regulatorios de la región.

    El próximo hito crítico es la publicación del informe de notificación del SBI al regulador indio, que determinará si la respuesta institucional cumple con los plazos previstos por la DPDPA 2023 y si otros bancos con vínculos corresponsales deben activar sus propios protocolos de gestión del incidente.

  • SBI confirma brecha: 3.897 registros de clientes expuestos en la dark web

    SBI confirma brecha: 3.897 registros de clientes expuestos en la dark web

    El State Bank of India (SBI), el mayor banco público del país con presencia en más de 50 naciones, confirmó una brecha de datos que dejó expuestos 3.897 registros de clientes en la dark web, según se informó el 21 de octubre de 2025. El banco reconoció el incidente públicamente, lo que activa obligaciones de notificación bajo el marco regulatorio indio.

    De acuerdo con lo informado por Free Press Journal, los registros comprometidos fueron detectados circulando en foros de la dark web. SBI, institución catalogada como “too big to fail” en el sistema financiero indio y con operaciones en América Latina, confirmó la existencia del incidente sin detallar, hasta el momento de la publicación, el vector de ataque ni el período exacto durante el cual los datos habrían permanecido expuestos. La naturaleza de los datos comprometidos —si incluyen información financiera, credenciales o datos de identificación— tampoco fue precisada en la comunicación oficial según se informó.

    Datos confirmados del incidente

    • Registros expuestos confirmados: 3.897 cuentas de clientes
    • Canal de exposición: dark web (foros no especificados)
    • Entidad afectada: State Bank of India, mayor banco del sector público indio
    • Confirmación pública: emitida por el propio banco, según Free Press Journal
    • Tipo de datos comprometidos: no especificado en la comunicación oficial hasta la fecha

    Qué se sabe y qué falta confirmar

    Lo confirmado es la exposición de los registros y su presencia en la dark web. Lo que permanece sin verificar incluye el origen de la filtración —si fue un ataque externo, un proveedor tercero o un error de configuración interna—, la antigüedad de los datos y si se activaron protocolos de notificación individual a los clientes afectados. India no cuenta con una ley general de protección de datos personales plenamente vigente al estilo del GDPR europeo o la LGPD brasileña, aunque el Digital Personal Data Protection Act de 2023 establece obligaciones de notificación ante brechas que aún están siendo reglamentadas. El cumplimiento efectivo del banco frente a esas obligaciones todavía no fue reportado.

    Para equipos de gobernanza de datos en la región, el caso ilustra una brecha recurrente: la detección de datos expuestos proviene de monitoreo externo de la dark web, no de controles internos. Bancos en Brasil bajo la regulação do Banco Central (Resolução CMN 4.893/2021) y en Argentina bajo la Comunicación A 7724 del BCRA tienen obligaciones explícitas de notificación ante incidentes de seguridad de la información. En México, la CNBV exige reportes ante la CONDUSEF en casos que afecten datos financieros de usuarios. La pregunta relevante no es si 3.897 registros es un número “pequeño” —es si el banco sabía antes de que lo supieran los foros.

    El próximo hito a seguir es si SBI activa notificaciones individuales a los 3.897 clientes afectados, lo que definirá si el banco opera bajo el Digital Personal Data Protection Act de 2023 con criterio reactivo o preventivo.

  • Brecha en SBI: grupo hacker alega acceso a 375.000 registros y 2.722 documentos

    Brecha en SBI: grupo hacker alega acceso a 375.000 registros y 2.722 documentos

    Un grupo hacker afirma haber accedido a 375.000 registros y 2.722 documentos del State Bank of India (SBI), el mayor banco público del país asiático. La entidad no confirmó ni desmintió la brecha al cierre de esta nota, según se informó el 21 de octubre de 2026.

    El reclamo fue difundido por el grupo atacante sin que mediara una divulgación oficial del SBI. La información circula en foros especializados y fue recogida por medios de tecnología en India. Hasta el momento de publicación, el banco no emitió un comunicado reconociendo el incidente ni precisó qué sistemas o bases de datos habrían sido comprometidos, según se informó.

    Datos confirmados al 21 de octubre de 2026

    • Registros alegados como comprometidos: 375.000 (3,75 lakh en notación india)
    • Documentos alegados como exfiltrados: 2.722
    • Actor: grupo hacker no identificado oficialmente
    • Confirmación oficial del SBI: ninguna al cierre de esta nota
    • Naturaleza de los datos expuestos: no especificada en la información disponible

    Qué se sabe y qué falta confirmar

    Lo confirmado se limita a la existencia del reclamo por parte del grupo atacante y a las cifras que él mismo publicó. No hay verificación independiente del volumen ni del tipo de datos involucrados. Permanece sin confirmar si los registros corresponden a clientes individuales, empleados o contrapartes corporativas, y si incluyen datos sensibles como información financiera, documentos de identidad o credenciales de acceso. También es incierta la vía de intrusión —vulnerabilidad en infraestructura propia, proveedor tercero o credenciales comprometidas— y si el SBI tiene conocimiento del incidente y activó protocolos de notificación ante el Reserve Bank of India (RBI) o el Computer Emergency Response Team de India (CERT-In), que exige notificación de incidentes en un plazo de seis horas bajo las directrices vigentes.

    Para las organizaciones financieras de América Latina, el caso reitera una tensión conocida: los reguladores de la región —desde el Banco Central de Brasil (BACEN) bajo la Resolución CMN 4.893 hasta la Comisión Nacional Bancaria y de Valores de México y el BCRA en Argentina con la Comunicación A 7724— exigen tiempos de notificación acotados ante incidentes que afecten datos de clientes. Cuando la institución no confirma ni desmiente de manera oportuna, el vacío informativo amplifica el daño reputacional y puede derivar en sanciones por incumplimiento del deber de notificación, independientemente de si la brecha es luego validada o descartada.

    El próximo hito crítico es la respuesta oficial del SBI: si el banco guarda silencio más allá del plazo de seis horas que impone CERT-In, el incumplimiento procedimental podría convertirse en un problema regulatorio separado del incidente mismo.

  • Brecha en Capcom expone 11,7 millones de registros

    Brecha en Capcom expone 11,7 millones de registros

    Capcom, la desarrolladora japonesa de videojuegos detrás de franquicias como Resident Evil y Street Fighter, sufrió una brecha de datos que expuso 11,7 millones de registros de usuarios a nivel global, según se informó el 23 de octubre de 2026. El incidente afectaría a jugadores registrados en plataformas de la compañía y plantea interrogantes sobre el manejo de datos personales en la industria del entretenimiento digital.

    La información fue reportada por eSecurity Planet y señala que los registros comprometidos incluirían datos de clientes de distintas regiones, aunque el desglose geográfico exacto no fue confirmado de forma oficial al momento de la publicación. Capcom no emitió una declaración pública detallada sobre el alcance del incidente según las fuentes disponibles. Se desconoce si la compañía ya notificó a las autoridades de protección de datos en las jurisdicciones donde opera.

    Datos confirmados sobre los 11,7 millones de registros

    • Registros expuestos: 11,7 millones, según se informó
    • Empresa afectada: Capcom Co., Ltd., con sede en Osaka, Japón
    • Fecha de reporte: 23 de octubre de 2026
    • Tipos de datos comprometidos: no detallados oficialmente al cierre de esta nota
    • Estado de las notificaciones regulatorias: sin confirmar

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen del incidente: 11,7 millones de registros representan una exposición de escala considerable para la industria del gaming. Lo que permanece sin verificación es el tipo exacto de datos involucrados —si incluyen credenciales, datos de pago o información de identificación personal—, el vector de ataque utilizado y si la exfiltración ya se materializó en mercados clandestinos. Tampoco está claro si Capcom activó sus protocolos de respuesta a incidentes conforme a las obligaciones del APPI (Ley de Protección de Información Personal) de Japón, que exige notificación a la Comisión de Protección de Información Personal en casos de brechas que superen los 1.000 registros.

    Para usuarios en América Latina, la situación activa derechos concretos. En Brasil, la LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018) obliga a los titulares de datos a ser notificados en caso de incidentes que puedan acarrearles riesgo o daño, y la ANPD puede iniciar investigaciones de oficio. En Argentina, la Ley 25.326 y las disposiciones de la AAIP establecen un régimen similar. En México, el INAI ha actuado sobre empresas extranjeras con presencia en el país bajo la LFPDPPP. Si Capcom opera bases de datos con registros de usuarios latinoamericanos —lo cual es altamente probable dado el tamaño del mercado regional de videojuegos—, las obligaciones de notificación aplican independientemente de dónde resida el responsable del tratamiento.

    El próximo hito crítico es la apertura de un plazo formal de notificación a autoridades: bajo LGPD, ese plazo es de 2 días hábiles desde que el controlador toma conocimiento del incidente; si Capcom no acredita haber cumplido esa ventana ante la ANPD, podría enfrentar una investigación formal en Brasil antes de fin de mes.

  • Meta enfrenta multa de USD 25.000 millones por violaciones de privacidad

    Meta enfrenta multa de USD 25.000 millones por violaciones de privacidad

    Meta recibió una multa de USD 25.000 millones por incumplimientos en materia de privacidad de datos, según se informó el 23 de octubre de 2025. La sanción, una de las más elevadas registradas contra una plataforma tecnológica, reaviva el debate sobre los costos reales de una gobernanza de datos deficiente en empresas de escala global.

    La cifra no es solo un número récord: representa una señal directa a las organizaciones que todavía tratan el cumplimiento de privacidad como una formalidad secundaria. Según se informó, la sanción tiene origen en prácticas relacionadas con el tratamiento de datos personales de usuarios, aunque los detalles específicos del expediente no estaban completamente confirmados al cierre de esta edición. Lo que sí está confirmado es el monto y la entidad sancionada: Meta Platforms, compañía propietaria de Facebook, Instagram y WhatsApp.

    Una multa que redefine el piso del riesgo regulatorio

    Hasta ahora, la multa de referencia en privacidad era la de EUR 1.200 millones impuesta por la Comisión de Protección de Datos de Irlanda (DPC) contra Meta en 2023, bajo el Reglamento General de Protección de Datos (GDPR) de la Unión Europea. Si la cifra ahora informada de USD 25.000 millones se confirma en su totalidad, multiplica varias veces ese antecedente y coloca la exposición regulatoria en una dimensión que ningún consejo directivo puede ignorar. Para los equipos legales y de cumplimiento, el mensaje es claro: las multas simbólicas quedaron atrás.

    El caso también subraya una tensión estructural en los modelos de negocio basados en publicidad personalizada: la monetización masiva de datos de comportamiento choca frontalmente con marcos regulatorios que exigen bases legales claras, transparencia y derechos ejercibles por los usuarios. Meta ha sido el caso de prueba más visible de esa tensión a escala global.

    Qué implica para empresas que operan en América Latina

    En la región, las autoridades de control avanzan con velocidad desigual pero con dirección definida. Brasil cuenta desde 2020 con la Lei Geral de Proteção de Dados (LGPD), y su autoridad —la Autoridade Nacional de Proteção de Dados (ANPD)— ya emitió resoluciones sancionatorias y amplió su capacidad fiscalizadora en 2024. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) supervisa el cumplimiento de la Ley 25.326, cuya reforma lleva años demorada en el Congreso pero cuya aplicación efectiva se intensificó. En México, el INAI opera bajo la LFPDPPP con competencia sobre el sector privado. Ninguna de estas jurisdicciones puede imponer sanciones del orden de los USD 25.000 millones, pero la tendencia regulatoria global establece el estándar de expectativa: el incumplimiento tiene precio, y ese precio sube.

    Las empresas con operaciones en múltiples países de la región deben considerar que los marcos locales están convergiendo hacia principios similares a los del GDPR: bases legales para el tratamiento, notificación de brechas, derechos de acceso, rectificación y supresión, y transferencias internacionales con garantías. Ignorar esos requisitos mientras se escala el uso de datos para publicidad o personalización algorítmica es exactamente el patrón que llevó a Meta a esta situación.

    El próximo hito a seguir es la confirmación formal del monto y el organismo emisor de la sanción contra Meta, datos que definirán si se trata de una multa judicial, administrativa o de un acuerdo negociado —y qué precedente vinculante establece para otras plataformas en jurisdicciones con marcos equivalentes.

  • Pryx: el hacker de 19 años que atacó al FBI y su pasado de cibercrimen

    Pryx: el hacker de 19 años que atacó al FBI y su pasado de cibercrimen

    Un joven de 19 años conocido en foros de cibercrimen como Pryx intentó reencuadrarse públicamente como emprendedor de ciberseguridad, pero según se informó, esa narrativa colapsó cuando el FBI fue atacado en un incidente vinculado a su actividad. El caso, que tomó estado público el 9 de octubre de 2026 a través de Reuters, pone en primer plano las tensiones entre el relato de la “reconversión” y el historial verificable de actores de amenazas.

    Adem El Adeb se presentó ante Reuters como un exhacker retirado que había fundado una empresa de ciberseguridad. En la nota, se describía como una “amenaza retirada”, un encuadre que la publicación especializada DataBreaches.net cuestionó de forma explícita al señalar que ese relato no cambia lo que El Adeb hizo antes de que el FBI fuera objeto de un ataque. Los detalles técnicos del incidente contra el FBI no estaban confirmados en su totalidad al momento de la publicación original, aunque la investigación de Simone Kraus para DataBreaches.net apunta a un pasado de actividad ilícita que la narrativa mediática inicial omitió o minimizó.

    Datos confirmados al 20 de octubre de 2026

    • Nombre del actor: Adem El Adeb, alias Pryx, 19 años.
    • El perfil fue presentado por Reuters el 9 de octubre de 2026 como el de un exhacker reconvertido al sector legítimo.
    • El FBI figura entre los objetivos de ataques vinculados, según se informó, a su actividad.
    • DataBreaches.net publicó una investigación contradictoria el 20 de octubre de 2026, con autoría de Simone Kraus.
    • No se confirmó públicamente el número exacto de víctimas ni los registros comprometidos al cierre de esta nota.

    Qué se sabe y qué falta confirmar sobre el incidente

    Lo confirmado es que El Adeb operó bajo el alias Pryx en entornos de cibercrimen y que al menos una acción atribuida a ese alias tuvo como objetivo una entidad federal estadounidense de alto perfil. Lo que permanece sin verificación independiente es el alcance exacto de la brecha, el volumen y tipo de datos eventualmente comprometidos, y si la empresa de ciberseguridad que El Adeb dice haber fundado operó como fachada o como actividad legítima paralela. La referencia en el título de DataBreaches.net a “Four Dead in Cairo” —cuatro muertos en El Cairo— no tiene explicación factual confirmada en el fragmento disponible de la nota original; podría tratarse de un elemento de contexto biográfico o de un caso conexo aún no aclarado públicamente. Este punto requiere seguimiento.

    Para los equipos de protección de datos y las autoridades de control en América Latina, el caso ilustra un patrón conocido: actores con historial de intrusiones que intentan reposicionarse en el mercado de la ciberseguridad antes de que sus antecedentes sean debidamente verificados. En jurisdicciones como Brasil, donde la ANPD tiene competencia para investigar incidentes con impacto en titulares brasileños, o en Argentina, donde la AAIP puede requerir información sobre brechas transfronterizas bajo la Ley 25.326, la identidad y el historial de quienes acceden a datos sensibles —incluso como prestadores de servicios de seguridad— es un vector de riesgo que los marcos de gobernanza no siempre contemplan con suficiente rigor.

    El próximo hito a seguir es si el Departamento de Justicia de Estados Unidos formaliza cargos contra El Adeb, lo que determinaría el alcance jurídico del incidente y habilitaría eventuales solicitudes de cooperación internacional.

  • Brecha en Capcom expuso más de 11 millones de registros de clientes

    Brecha en Capcom expuso más de 11 millones de registros de clientes

    Más de 11 millones de registros de clientes quedaron expuestos tras una brecha de datos en Capcom, la desarrolladora japonesa de videojuegos conocida por franquicias como Street Fighter y Resident Evil, según informó Cyber Daily el 23 de octubre de 2025. El incidente reposiciona a la compañía como uno de los casos de mayor volumen de datos comprometidos en la industria del entretenimiento digital.

    La brecha afectó registros de clientes de Capcom, aunque según se informó, los detalles sobre el tipo exacto de datos expuestos —nombres, correos electrónicos, datos de pago u otra información personal— no fueron completamente detallados en la divulgación pública inicial. El incidente fue reportado por Cyber Daily y surgió en el contexto del ecosistema de plataformas digitales de videojuegos, donde los usuarios registran cuentas con información personal para acceder a servicios en línea, compras digitales y comunidades.

    11 millones de registros: cifras confirmadas y qué falta saber

    • Registros expuestos reportados: más de 11 millones
    • Empresa afectada: Capcom Co., Ltd., con sede en Osaka, Japón
    • Fecha de reporte público: 23 de octubre de 2025
    • Fuente de la divulgación: Cyber Daily

    Qué se sabe y qué falta confirmar

    Lo confirmado es el volumen: más de 11 millones de registros de clientes comprometidos. Lo que aún no está verificado públicamente incluye el vector de ataque utilizado, si hubo exfiltración activa por parte de un actor malicioso o exposición por mala configuración, y si Capcom notificó formalmente a las autoridades de protección de datos en las jurisdicciones donde opera. Tampoco se confirmó si los afectados fueron notificados individualmente, un requisito legal en múltiples marcos normativos.

    Este punto es crítico para los usuarios latinoamericanos. Brasil exige notificación a la Autoridade Nacional de Proteção de Dados (ANPD) y a los titulares afectados “en prazo razoável” bajo el artículo 48 de la LGPD cuando la brecha puede acarrear riesgo o daño relevante. En México, la LFPDPPP obliga a los responsables del tratamiento a informar a los titulares sobre vulnerabilidades que afecten significativamente sus derechos patrimoniales o morales. Argentina, bajo la Ley 25.326 y la Disposición AAIP 4/2019, también contempla el deber de notificación ante incidentes de seguridad. Si Capcom tiene usuarios registrados en estos países —lo cual es altamente probable dado el alcance global de sus plataformas—, las obligaciones de notificación en la región están sobre la mesa.

    El próximo hito a seguir es si Capcom presenta notificaciones formales ante las autoridades de protección de datos en las jurisdicciones donde opera, incluyendo Brasil, México y Argentina, o si los reguladores actúan de oficio ante la magnitud del incidente.

  • SBI y E-Mudra: 3.897 registros expuestos en incidente de seguridad en India

    SBI y E-Mudra: 3.897 registros expuestos en incidente de seguridad en India

    El State Bank of India (SBI) confirmó, según se informó, la exposición de 3.897 registros de clientes en un incidente de seguridad vinculado a E-Mudra, plataforma de firma digital utilizada por el banco para trámites electrónicos. El caso encendió alertas sobre la cadena de custodia de datos personales cuando intervienen proveedores tecnológicos terceros.

    El incidente fue revelado el 22 de octubre de 2025. De acuerdo con la información disponible, la brecha no habría ocurrido en los sistemas centrales del SBI sino en la infraestructura de E-Mudra, un proveedor de servicios de firma y autenticación digital que opera en el ecosistema bancario indio. Los registros expuestos corresponderían a datos de clientes que utilizaron servicios intermediados por esa plataforma, aunque el tipo exacto de información comprometida —nombres, documentos de identidad, datos financieros— no fue detallado en los reportes disponibles al cierre de esta nota.

    Datos confirmados del incidente SBI–E-Mudra

    • 3.897 registros de clientes expuestos, según se informó.
    • Institución afectada: State Bank of India (SBI), banco público más grande de India.
    • Origen del incidente: sistema de E-Mudra, proveedor externo de firma digital.
    • Fecha de reporte público: 22 de octubre de 2025.
    • Tipo de datos comprometidos: no confirmado en detalle al momento de publicación.

    Qué se sabe y qué falta confirmar

    Lo que está documentado es que el vector de exposición habría sido el proveedor externo, no el núcleo bancario del SBI. Lo que permanece sin confirmar es si hubo exfiltración activa de datos o si la exposición se produjo por una configuración incorrecta que dejó registros accesibles sin autorización. Tampoco se confirmó si el Banco de Reserva de India (RBI) fue notificado formalmente, ni en qué plazo, conforme a las obligaciones de reporte de incidentes vigentes en el sistema financiero indio. La naturaleza exacta del campo de datos expuestos —si incluye información de identificación oficial, datos biométricos o registros de transacciones— es un dato crítico que aún no fue divulgado públicamente.

    El caso ilustra un vector de riesgo frecuentemente subestimado en la gobernanza de datos del sector financiero: la cadena de proveedores tecnológicos. Cuando un banco terceriza procesos que involucran datos personales de clientes —como la firma digital o la autenticación— el ownership del dato no desaparece; el banco sigue siendo responsable del tratamiento ante el titular. En América Latina, esta lógica está incorporada en marcos como la Ley 25.326 de Argentina, que no exime al responsable del tratamiento por las fallas del encargado, y en la Lei Geral de Proteção de Dados (LGPD) de Brasil, cuyo artículo 46 establece que tanto el controlador como el operador deben adoptar medidas de seguridad adecuadas. La LFPDPPP de México opera bajo el mismo principio. Que un incidente ocurra en un proveedor no neutraliza la exposición regulatoria del banco que contrató el servicio.

    El próximo hito a monitorear es la notificación formal del SBI al regulador financiero indio y la determinación del alcance exacto de los datos comprometidos, información que definirá si el incidente activa obligaciones adicionales de comunicación a los titulares afectados.