DataTrends LATAM

Etiqueta: Data Breach

Incidentes con compromiso de datos: brechas, hackeos con exfiltración, filtraciones.

  • Coupang impugna multa de 620.000 millones de won por brecha de 33 millones de usuarios

    Coupang impugna multa de 620.000 millones de won por brecha de 33 millones de usuarios

    El mayor retailer online de Corea del Sur, Coupang, presentó acciones judiciales para impugnar una multa de 620.000 millones de won (aproximadamente 450 millones de dólares) impuesta por la autoridad coreana de protección de datos tras una brecha que afectó a más de 33 millones de clientes. El incidente, ocurrido en noviembre de 2025, lleva nueve meses en la agenda pública y aún no está cerrado.

    Según se informó, la brecha fue ejecutada por un ex desarrollador que trabajó para la compañía. Coupang reconoció el incidente en diciembre de 2025, emitió disculpas públicas y procedió a notificar a los usuarios afectados. Sin embargo, la magnitud de la sanción impuesta por el regulador —cifra sin precedentes en el historial de multas de privacidad asiático reciente— derivó en la decisión corporativa de litigar en lugar de acatar.

    Datos confirmados sobre el incidente y la sanción

    • Fecha de la brecha: noviembre de 2025.
    • Usuarios afectados: más de 33 millones de clientes.
    • Notificación pública y disculpa: diciembre de 2025.
    • Multa impuesta: 620.000 millones de won (aprox. 450 millones de dólares).
    • Actor del incidente: ex desarrollador de la empresa, según se informó.
    • Acción judicial: Coupang presentó demandas para impugnar la sanción en octubre de 2026.

    Qué se sabe y qué falta confirmar

    Los hechos confirmados apuntan a un insider como vector del incidente y a una respuesta corporativa que demoró al menos un mes entre el ataque y la comunicación pública. Lo que aún no está aclarado públicamente es el tipo exacto de datos comprometidos, si existieron fallas en controles de acceso previas al incidente, y bajo qué artículos específicos de la Ley de Protección de Información Personal de Corea del Sur (PIPA) se fundamentó el cálculo de la multa. Tampoco se ha confirmado si el regulador aceptará negociar o si el proceso judicial irá a término.

    El caso tiene relevancia directa para los equipos de privacidad y legales en América Latina. Brasil, bajo la LGPD (Lei 13.709/2018), habilita a la ANPD a imponer sanciones de hasta el 2% de la facturación local de la empresa, con un techo de 50 millones de reales por infracción. Argentina, con la Ley 25.326 y su Agencia de Acceso a la Información Pública (AAIP), también prevé sanciones escalonadas, aunque el techo efectivo ha sido históricamente más bajo. En ambos marcos, la dilación en la notificación —como el mes transcurrido entre el incidente de Coupang y su comunicación— agrava la calificación de la infracción y puede elevar la sanción aplicable.

    El próximo hito clave es la admisión formal de las demandas por parte del tribunal coreano competente, instancia que definirá si la multa queda suspendida cautelarmente mientras se sustancia el proceso.

  • FBI responsabiliza a contratista de Accenture por brecha de ShinyHunters

    FBI responsabiliza a contratista de Accenture por brecha de ShinyHunters

    El FBI removió a un contratista de Accenture tras una brecha de datos atribuida al grupo ShinyHunters que expuso información personal de miles de empleados del buró, según informó Reuters citando dos fuentes familiarizadas con el caso. El vector de entrada, según se informó, fue un parche de seguridad no aplicado a tiempo.

    La información fue confirmada por un alto funcionario del buró a Reuters. El FBI no divulgó públicamente el nombre del contratista ni de la organización involucrada, aunque señaló que la responsabilidad recae en la falla de ese tercero para mantener sus sistemas actualizados. ShinyHunters es un grupo de amenaza persistente con historial de brechas de alto perfil en múltiples jurisdicciones, responsable de incidentes que comprometieron decenas de millones de registros en años recientes.

    Datos confirmados sobre el incidente

    • Actor de amenaza identificado: ShinyHunters
    • Datos expuestos: información personal de miles de empleados del FBI, según se informó
    • Contratista involucrado: vinculado a Accenture, según Reuters; identidad no confirmada públicamente por el buró
    • Causa raíz declarada: parche de seguridad no aplicado por el contratista
    • Medida adoptada: remoción del contratista de sus funciones para el FBI

    Qué se sabe y qué falta confirmar

    Lo confirmado hasta ahora es la relación causal declarada por el buró —parche omitido, acceso habilitado, exfiltración— y la acción disciplinaria contra el contratista. Lo que permanece sin confirmar incluye el volumen exacto de registros comprometidos, los tipos específicos de datos personales afectados, si se activaron protocolos de notificación a los empleados involucrados, y si el incidente fue reportado formalmente a alguna autoridad de control adicional. Tampoco se confirmó si Accenture como organización está bajo investigación o si la responsabilidad recae exclusivamente en el contratista individual.

    El caso reedita una tensión estructural bien documentada en la gestión de terceros: la cadena de custodia de datos sensibles se extiende hasta proveedores y subcontratistas cuyo nivel de cumplimiento en seguridad puede diferir significativamente del contratante principal. Para organizaciones en América Latina que operan con proveedores tecnológicos bajo marcos como la Ley 25.326 en Argentina, la LGPD en Brasil o la LFPDPPP en México, la responsabilidad del responsable del tratamiento no cesa cuando los datos pasan a un encargado externo. El principio de responsabilidad proactiva —denominado accountability en todos esos marcos— exige que el contratante pueda demostrar que verificó y controló las medidas de seguridad del tercero, no solo que firmó un contrato.

    El próximo hito a seguir es si el FBI emite una notificación formal a los empleados afectados, lo que activaría plazos y obligaciones adicionales bajo la normativa federal estadounidense aplicable.

  • Brecha en el Pentágono expone fallas críticas en gobernanza de datos sensibles

    Brecha en el Pentágono expone fallas críticas en gobernanza de datos sensibles

    Una brecha de datos en el Departamento de Defensa de Estados Unidos volvió a poner en evidencia fallas estructurales en la gobernanza de información clasificada y sensible: según se informó, el incidente expuso debilidades en clasificación, ownership y controles de acceso sobre datos críticos, problemas que no son exclusivos del sector defensa.

    El incidente, reportado en octubre de 2025 por CDO Magazine, involucra al Pentágono y apunta a brechas en la gestión interna de datos sensibles más que a un ataque sofisticado de origen externo. Según se informó, las fallas detectadas incluyen ausencia de clasificación sistemática de datos, controles de acceso inconsistentes y ownership difuso sobre conjuntos de información crítica. El caso reaviva un debate que los equipos de gobernanza de datos en el sector público y privado llevan postergando: sin un marco operativo claro, la seguridad perimetral no alcanza.

    Qué falló: clasificación, ownership y ausencia de data stewardship

    Desde la óptica de gobernanza de datos, los incidentes como el del Pentágono siguen un patrón identificable en el DAMA-DMBOK: ausencia de una política de clasificación de datos aplicada operativamente, roles de data steward no definidos o sin autoridad real, y catálogos de datos que no reflejan el inventario real de activos sensibles. Cuando no existe un responsable claro del dato —alguien con la autoridad y la rendición de cuentas de un data steward— los controles técnicos quedan sin ancla organizacional. El marco CDMC (Cloud Data Management Capabilities) del EDM Council, adoptado progresivamente por instituciones financieras de primer nivel, contempla explícitamente la gestión de datos sensibles como una capability diferenciada que requiere certificación.

    El concepto de Non-Invasive Data Governance, desarrollado por Bob Seiner, es especialmente relevante para organismos públicos: plantea que la gobernanza efectiva no requiere grandes reorganizaciones, sino reconocer y formalizar las responsabilidades que ya existen informalmente. En entornos de alta complejidad como el sector defensa o la administración pública latinoamericana, este enfoque permite avanzar sin esperar transformaciones institucionales de largo aliento.

    Argentina, Brasil y México: el mismo patrón, marcos regulatorios distintos

    En América Latina, el problema de la gobernanza de datos sensibles en el sector público es igualmente crítico, aunque los marcos regulatorios varían. En Argentina, la Ley 25.326 de Protección de Datos Personales establece obligaciones de seguridad para bases de datos públicas, y la AAIP ha emitido disposiciones sobre medidas de seguridad mínimas; sin embargo, la aplicación de estándares de gobernanza internos —clasificación, data lineage, catálogos— sigue siendo discrecional en la mayoría de los organismos. En Brasil, la LGPD (Lei 13.709/2018) obliga a entidades públicas a designar un Encarregado (equivalente al DPO europeo) y a implementar medidas técnicas y administrativas proporcionales al riesgo; la ANPD ya ha iniciado procesos de orientación hacia el sector público. En México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) supervisa el cumplimiento de la LFPDPPP y sus equivalentes en el sector gubernamental, aunque la fragmentación entre poderes y niveles de gobierno genera vacíos comparables a los que este incidente ilustra.

    Lo que el caso del Pentágono hace visible es que la gobernanza de datos sensibles no es un problema de ciberseguridad en primera instancia: es un problema de ownership, clasificación y accountability del dato. Un CDO o Data Governance Manager que enfrenta esta realidad en su organización debería priorizar, en el corto plazo, tres acciones concretas: auditar si existe una política de clasificación de datos vigente y aplicada (no solo documentada), identificar qué activos de datos sensibles carecen de un data steward designado con responsabilidad formal, y validar si el catálogo de datos refleja el inventario real de información crítica o es un artefacto desactualizado.

    El próximo hito concreto para equipos en la región es el ciclo de revisión de medidas de seguridad que la ANPD brasileña tiene proyectado para el primer semestre de 2026, y que podría establecer referencia para otros reguladores latinoamericanos sobre estándares mínimos de gobernanza en el sector público.

  • Nueva EPS, la mayor entidad de salud de Colombia, habría sido hackeada

    Nueva EPS, la mayor entidad de salud de Colombia, habría sido hackeada

    Un actor no identificado alega haber comprometido los sistemas de Nueva EPS, la entidad promotora de salud más grande de Colombia, y exige 15 millones de dólares para no publicar los datos sustraídos. El incidente aún no ha sido confirmado oficialmente por la entidad.

    Según información difundida por el sitio especializado DataBreaches.net el 5 de octubre de 2026, el presunto atacante contactó a la organización con una demanda de rescate de 15 millones de dólares a cambio de no filtrar la información obtenida. Nueva EPS opera como una Entidad Promotora de Salud (EPS) en el marco del sistema de salud colombiano: es responsable de implementar los lineamientos del Ministerio de Salud, desarrollar protocolos clínicos y supervisar la prestación de servicios a sus afiliados. Por su tamaño y alcance nacional, concentra datos de salud de una porción significativa de la población colombiana.

    Datos confirmados al momento del reporte

    • Actor: individuo no identificado que alega haber comprometido los sistemas de Nueva EPS.
    • Demanda: 15 millones de dólares para no publicar los datos.
    • Fecha del reporte público: 5 de octubre de 2026 (DataBreaches.net).
    • Confirmación oficial por parte de Nueva EPS: no disponible al cierre de esta nota.
    • Volumen de registros comprometidos: no informado.
    • Naturaleza de los datos sustraídos: no especificada en la fuente.

    Qué se sabe y qué falta confirmar sobre el incidente

    Por el momento, la brecha es “alegada”: no existe confirmación técnica independiente ni declaración oficial de Nueva EPS que valide el acceso no autorizado. No se ha divulgado qué tipo de datos estarían en poder del actor —si incluyen historiales clínicos, información financiera de afiliados, o datos administrativos—, ni cuál es el vector de ataque utilizado. En Colombia, los datos de salud están catalogados como datos sensibles bajo la Ley 1581 de 2012, lo que implica estándares de protección reforzados y obligaciones de notificación ante la Superintendencia de Industria y Comercio (SIC) en caso de confirmarse una vulneración. La SIC es la autoridad de control de protección de datos personales en el país y tiene facultad sancionatoria sobre entidades que incumplan sus obligaciones de seguridad y reporte.

    El caso presenta similitudes con otros ataques de extorsión registrados en el sector salud de la región: en Brasil, entidades vinculadas al sistema de salud pública han sido objetivo de grupos de ransomware que combinan cifrado con exfiltración, táctica conocida como “doble extorsión”. Si el incidente en Nueva EPS sigue ese patrón, la exposición de datos de pacientes podría materializarse incluso si la entidad no cede al pago. La LGPD brasileña y la Ley 1581 colombiana comparten el principio de que el responsable del tratamiento debe implementar medidas técnicas suficientes para evitar accesos no autorizados; en ambos marcos, la carga de la prueba recae sobre la entidad.

    El próximo hito crítico es la eventual notificación formal a la SIC: si Nueva EPS confirma la brecha, el reloj regulatorio colombiano comenzará a correr desde el momento en que la entidad tome conocimiento del incidente.

  • Brecha masiva expone datos de personal militar de EE. UU. durante meses

    Brecha masiva expone datos de personal militar de EE. UU. durante meses

    Hackers accedieron a millones de registros de personal militar de los Estados Unidos en una brecha de seguridad que se habría extendido por un período prolongado antes de ser detectada, según se informó. El incidente representa uno de los compromisos de datos sensibles de defensa más significativos conocidos públicamente en los últimos años.

    La filtración, reportada el 30 de septiembre de 2025, involucra datos de integrantes de las Fuerzas Armadas estadounidenses. Según se informó, los atacantes mantuvieron acceso a los sistemas comprometidos durante un tiempo considerable, lo que amplía el potencial daño: cuanto mayor es la ventana de acceso no detectada, mayor es el volumen de datos que puede ser exfiltrado y mayor la dificultad para determinar el alcance real de la exposición. No se han confirmado públicamente los vectores de ataque específicos ni los sistemas afectados.

    Datos confirmados hasta el momento

    • Afectados: personal militar de las Fuerzas Armadas de EE. UU.
    • Volumen: millones de registros, según se informó.
    • Duración del acceso: prolongada, sin plazo exacto confirmado públicamente.
    • Vector de ataque: no confirmado oficialmente.
    • Actor responsable: no atribuido públicamente al momento del reporte.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que hubo acceso no autorizado y que la escala alcanza millones de registros de personal identificado como militar. Lo que permanece sin confirmar incluye el tipo exacto de datos comprometidos —si abarca información de salud, financiera, inteligencia o simplemente datos de identidad—, la identidad del grupo responsable, y si existió notificación formal a los afectados. En incidentes de esta naturaleza, la clasificación del dato es determinante: un registro con nombre, rango y destino de despliegue tiene implicancias de seguridad nacional muy distintas a un registro administrativo de nómina.

    El caso adquiere relevancia regional porque varios países de América Latina mantienen convenios de cooperación militar y de inteligencia con EE. UU., lo que podría significar que datos de contrapartes o contactos latinoamericanos también hayan quedado expuestos. Bajo marcos como la Ley 25.326 de Argentina o la Lei Geral de Proteção de Dados (LGPD) de Brasil, cualquier entidad que procese datos vinculados a ciudadanos de esas jurisdicciones —incluso en contextos de cooperación internacional— tiene obligaciones de notificación ante sus respectivas autoridades de control: la AAIP en Argentina y la ANPD en Brasil. Si existieran datos de ciudadanos o funcionarios latinoamericanos en los sistemas comprometidos, el análisis de notificación transfronteriza se vuelve obligatorio.

    El próximo hito crítico es la confirmación oficial del Departamento de Defensa de EE. UU. sobre el alcance de los datos comprometidos y el inicio del proceso formal de notificación a afectados, cuyo plazo dependerá de la legislación federal aplicable y de los acuerdos bilaterales vigentes con cada jurisdicción involucrada.

  • OpenAI despide a tres empleados por una brecha de seguridad interna

    OpenAI despide a tres empleados por una brecha de seguridad interna

    OpenAI desvinculó a tres trabajadores tras detectar una brecha de seguridad interna relacionada con el acceso o filtración de datos, según se informó el 2 de octubre de 2025. El incidente reaviva las preguntas sobre los controles de acceso y las políticas de gobernanza interna en uno de los actores más influyentes del sector de inteligencia artificial.

    El despido de tres empleados fue confirmado según se informó por fuentes vinculadas a la compañía, aunque OpenAI no emitió una declaración pública detallada al momento del cierre de esta nota. Los detalles sobre el tipo de datos comprometidos, el alcance de la brecha y si hubo exfiltración hacia terceros no han sido verificados de manera independiente. Lo que sí trascendió es que la investigación interna derivó en acciones disciplinarias de máxima severidad: la desvinculación de tres personas.

    Datos confirmados y qué falta saber

    • Tres empleados despedidos como consecuencia directa del incidente, según se informó.
    • El evento fue catalogado internamente como una brecha de seguridad de datos.
    • Fecha de reporte público: 2 de octubre de 2025.
    • OpenAI no confirmó si los datos afectados corresponden a usuarios, modelos o información corporativa interna.
    • No se ha informado si el incidente fue notificado a alguna autoridad regulatoria.

    Sin notificación pública a reguladores: el punto que no puede ignorarse en LATAM

    La ausencia de comunicación oficial hacia autoridades de control es un aspecto crítico en cualquier jurisdicción con marco de protección de datos vigente. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 48 la obligación de notificar a la Autoridade Nacional de Proteção de Dados (ANPD) ante incidentes que puedan acarrear riesgo o daño relevante a los titulares, dentro de un plazo razonable. En Argentina, la Ley 25.326 y las disposiciones de la AAIP imponen obligaciones similares para quienes tratan datos de ciudadanos argentinos. En México, el INAI exige la notificación de vulnerabilidades de seguridad conforme a la LFPDPPP y su reglamento. Si OpenAI procesa datos de usuarios en la región —lo que resulta altamente probable dado su base de usuarios global—, el incidente entra en el radar de estas autoridades independientemente de dónde ocurrió físicamente la brecha.

    El caso también expone una tensión estructural en compañías de IA de alto perfil: los mismos sistemas que procesan datos de millones de usuarios son operados por equipos internos con niveles de acceso privilegiado. Sin controles robustos de data access governance —incluyendo separación de roles, auditoría de logs y políticas de need-to-know— el riesgo insider se convierte en el vector más difícil de mitigar. El hecho de que el incidente haya sido detectado y derivado en despidos sugiere que OpenAI cuenta con algún mecanismo de monitoreo interno, pero no dice nada sobre la oportunidad de la detección ni sobre el daño ya producido.

    El próximo hito a seguir es si OpenAI emite una notificación formal a reguladores en las jurisdicciones donde opera — ese silencio, o su ausencia, definirá la exposición legal real del incidente.

  • Aeroméxico alerta sobre posible filtración de datos de clientes

    Aeroméxico alerta sobre posible filtración de datos de clientes

    Aeroméxico emitió una alerta dirigida a sus clientes ante la posible exposición de datos personales, según se informó el 2 de octubre de 2025. La aerolínea mexicana, una de las mayores de América Latina, no ha confirmado el alcance exacto del incidente ni el número de registros comprometidos.

    La compañía notificó a sus usuarios sobre un posible incidente de seguridad que habría derivado en la exposición de información personal. Según se informó, entre los datos que podrían estar afectados figuran nombre completo, dirección de correo electrónico, número telefónico y, potencialmente, información vinculada al programa de viajero frecuente Club Premier. Aeroméxico no precisó la fecha exacta en que detectó el incidente ni el vector de ataque utilizado. La información se conoció a través de comunicaciones enviadas a clientes y fue amplificada por medios especializados en la región.

    Datos confirmados y puntos sin verificar

    • Actor afectado: Aeroméxico, aerolínea de bandera mexicana con operaciones en toda la región.
    • Tipo de datos en riesgo: nombre, correo electrónico, teléfono y posiblemente datos del programa Club Premier, según se informó.
    • Origen del incidente: no confirmado públicamente por la empresa al momento de esta publicación.
    • Número de registros afectados: sin cifra oficial disponible.
    • Fecha de detección interna: no divulgada.

    Lo que permanece sin verificar es si el incidente involucra a un tercero proveedor o si la brecha se originó en sistemas propios de la aerolínea. Tampoco hay confirmación sobre si los datos ya circulan en foros de acceso no autorizado. Aeroméxico no publicó, hasta el cierre de esta nota, un comunicado oficial con los detalles técnicos del evento ni mencionó si contrató servicios forenses externos para la investigación.

    Marco legal aplicable: LFPDPPP y plazos del INAI

    En México, el incidente activa obligaciones precisas bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento. Aeroméxico, como responsable del tratamiento, está obligada a notificar a los titulares afectados de forma inmediata y en lenguaje comprensible, conforme al artículo 20 de esa ley. Además, debe evaluar si el incidente debe reportarse al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), autoridad de control en México. El INAI puede iniciar un procedimiento de verificación de oficio si determina que la empresa no cumplió con los estándares de seguridad exigidos por el artículo 19 de la LFPDPPP, que obliga a implementar medidas administrativas, técnicas y físicas adecuadas al nivel de riesgo de los datos tratados. Para una aerolínea que procesa volúmenes significativos de datos de viajeros —incluyendo información de pagos e itinerarios— el estándar de cuidado exigido es elevado. En Colombia, Argentina y Brasil, incidentes análogos han generado investigaciones formales de las autoridades sectoriales: la SIC, la AAIP y la ANPD, respectivamente, han ampliado en los últimos dos años su capacidad de respuesta ante brechas en el sector transporte y turismo.

    El próximo hito crítico es la notificación formal al INAI: si Aeroméxico no acredita haber comunicado el incidente a los titulares y a la autoridad en los plazos que establece la LFPDPPP, queda expuesta a un procedimiento sancionatorio que puede derivar en multa y medidas correctivas de cumplimiento obligatorio.

  • Pentágono: 2,7 millones de registros militares expuestos en brecha de meses

    Pentágono: 2,7 millones de registros militares expuestos en brecha de meses

    Una brecha de datos que se extendió durante varios meses comprometió los registros de 2,7 millones de integrantes del personal militar de Estados Unidos, según informó TechRadar el 1 de octubre de 2025. Los datos expuestos incluyen nombres completos, historiales de servicio militar y números de Seguro Social.

    El incidente involucra al Departamento de Defensa de Estados Unidos —el Pentágono— y se habría prolongado durante meses antes de ser detectado y contenido, según se informó. La escala del compromiso lo convierte en una de las filtraciones de datos de personal militar más significativas registradas públicamente. No se confirmó hasta el momento qué actor o vector técnico estuvo detrás del acceso no autorizado.

    Datos confirmados del incidente

    • 2,7 millones de registros de personal militar expuestos
    • Tipos de datos comprometidos: nombres completos, historial de servicio militar y números de Seguro Social
    • La brecha se extendió durante varios meses antes de su detección, según se informó
    • Organización afectada: Departamento de Defensa de Estados Unidos (Pentágono)

    Qué se sabe y qué falta confirmar

    Hasta la fecha de publicación de esta alerta, no se ha confirmado públicamente el vector de ataque ni la identidad del o los responsables. Tampoco se informó si los datos filtrados ya circulan en foros o mercados de acceso restringido. Se desconoce si el Departamento de Defensa inició notificaciones individuales a los afectados ni en qué plazos. La atribución del incidente —estatal, criminal u otra— permanece sin confirmar según la información disponible.

    Para las organizaciones con personal que opera en América Latina bajo contratos de defensa o cooperación con agencias del gobierno de Estados Unidos, la exposición de números de Seguro Social combinada con historiales de servicio representa un riesgo de ingeniería social e identidad que trasciende fronteras. Brasil, Colombia, Perú y México cuentan con marcos de protección de datos personales —LGPD, Ley 1581 de 2012, Ley 29733 y LFPDPPP, respectivamente— que obligan a los responsables de tratamiento a evaluar el impacto cuando datos de sus titulares resultan comprometidos por terceros, incluso en cadenas de custodia internacionales.

    El próximo hito crítico es la confirmación oficial por parte del Departamento de Defensa sobre el alcance real de la brecha y el inicio formal del proceso de notificación a los 2,7 millones de afectados.

  • Registros municipales de McMinnville quedaron expuestos en línea sin protección

    Registros municipales de McMinnville quedaron expuestos en línea sin protección

    Un especialista en ciberseguridad detectó que registros sensibles del municipio de McMinnville, Oregon, estaban accesibles públicamente en línea sin ningún control de acceso. Según se informó, los archivos expuestos incluían información personal de residentes y fueron descriptos por el investigador como “un tesoro de información”.

    El hallazgo fue reportado por KOIN.com a partir de la alerta de un especialista en ciberseguridad que identificó los registros municipales expuestos. No se precisó en la información disponible cuánto tiempo estuvieron accesibles los archivos ni si terceros no autorizados accedieron a ellos antes de que el problema fuera detectado. La ciudad de McMinnville no había emitido una declaración pública confirmada al momento del reporte.

    Datos confirmados sobre la exposición

    • Actor afectado: municipio de McMinnville, Oregon, Estados Unidos.
    • Tipo de datos: registros municipales sensibles con información personal de residentes, según se informó.
    • Método de detección: alerta de un especialista externo en ciberseguridad.
    • Acceso no autorizado confirmado: no verificado al momento de la publicación.
    • Fecha de reporte público: 1 de octubre de 2025.

    Qué se sabe y qué falta confirmar

    Lo confirmado es que los registros estaban disponibles en línea sin restricciones de acceso y que el problema fue identificado por un tercero, no por el propio municipio. Lo que permanece sin confirmar incluye el volumen exacto de registros expuestos, el período de exposición, la naturaleza precisa de los datos comprometidos y si hubo descarga o exfiltración por parte de actores maliciosos. Tampoco se ha informado si el municipio notificó formalmente a los ciudadanos afectados ni bajo qué marco legal deberá hacerlo.

    En términos de gobernanza, el incidente ilustra una falla en la clasificación y el control de acceso sobre activos de datos públicos: el dato estaba accesible porque nadie tenía asignada la responsabilidad de garantizar que no debía estarlo. En organismos equivalentes de América Latina, este tipo de exposición activaría obligaciones de notificación bajo marcos como la Ley 25.326 en Argentina —que exige comunicar a la Agencia de Acceso a la Información Pública (AAIP) ante incidentes que afecten bases de datos registradas— o la Lei Geral de Proteção de Dados (LGPD) en Brasil, que establece plazos de notificación a la Autoridade Nacional de Proteção de Dados (ANPD) en un máximo de dos días hábiles desde el conocimiento del incidente cuando existe riesgo relevante.

    El próximo hito crítico es la determinación oficial por parte del municipio de McMinnville sobre si existió exfiltración, dato que definirá si se activan obligaciones formales de notificación a los residentes afectados.

  • Argentina investiga posible filtración de 6 millones de datos de Mi Argentina

    Argentina investiga posible filtración de 6 millones de datos de Mi Argentina

    El Gobierno argentino abrió una investigación por una posible filtración de datos que afectaría a 6 millones de registros vinculados a la plataforma Mi Argentina, el sistema estatal de identidad digital. El incidente, según se informó, está siendo analizado por las autoridades competentes para determinar su alcance y origen.

    La plataforma Mi Argentina concentra información sensible de los ciudadanos: datos de identidad, licencias de conducir, credenciales de salud y documentación oficial digitalizada. Una eventual exfiltración de esa magnitud —6 millones de registros, según se informó— colocaría al Estado nacional como responsable del tratamiento de datos personales comprometidos en uno de los incidentes más significativos de los últimos años en el país. Al cierre de esta nota, las autoridades no habían confirmado públicamente si la brecha fue efectivamente consumada ni el tipo de datos involucrados.

    Datos confirmados y qué falta verificar

    • Registros potencialmente comprometidos: 6 millones, según se informó.
    • Sistema afectado: Mi Argentina, plataforma de identidad digital del Estado nacional.
    • Estado de la investigación: en curso al momento de la publicación.
    • Exfiltración confirmada: sin confirmación oficial hasta el cierre de esta nota.
    • Tipo de datos expuestos: no especificado públicamente por el Gobierno.

    Qué dice la Ley 25.326 y el rol de la AAIP

    Argentina regula la protección de datos personales mediante la Ley 25.326, que obliga a los responsables de bases de datos —incluyendo organismos estatales— a implementar medidas de seguridad adecuadas para evitar el acceso no autorizado. La autoridad de control es la Agencia de Acceso a la Información Pública (AAIP), que tiene competencia para investigar incidentes de este tipo, aplicar sanciones y ordenar medidas correctivas. Si la brecha se confirma, el Estado actuaría en la doble condición de responsable del tratamiento y de parte investigada, un escenario que tensiona la independencia del proceso.

    La Ley 25.326 no establece un plazo taxativo de notificación a los titulares de datos en caso de brecha, a diferencia del RGPD europeo (72 horas a la autoridad) o de la LGPD brasileña, que fija plazos de comunicación al regulador y al titular. Esta brecha normativa es uno de los puntos que el proyecto de actualización de la ley de datos personales —en discusión en el Congreso argentino desde hace varios años— busca corregir. La ausencia de ese mecanismo deja a los 6 millones de potenciales afectados sin un canal claro ni un plazo garantizado de notificación.

    El próximo hito crítico es la confirmación oficial por parte del Gobierno sobre el alcance de la brecha y el inicio formal de actuaciones por parte de la AAIP, pasos que determinarán si el incidente activa el régimen sancionatorio de la Ley 25.326.