El caso de Aeroméxico deja una lección importante para cualquier empresa que use plataformas y servicios de terceros: proteger la información también implica revisar quién puede acceder a ella y cómo la resguarda. Un proveedor externo puede ser parte esencial de la operación, pero también puede convertirse en un punto de exposición.
No se trata de dejar de usar servicios externos. Se trata de conocer los riesgos, controlar los accesos y prepararte para responder si algo falla.
Qué ocurrió: un evento de 2025 que volvió a ser noticia en 2026
Aeroméxico reconoció un evento de seguridad ocurrido en 2025 en una plataforma de gestión de información de clientes administrada por un proveedor externo. En septiembre de 2026, su área de ciberseguridad detectó en Telegram una base de datos que se ofrecía con más de 15 millones de registros.
La Secretaría Anticorrupción y Buen Gobierno informó que identificó un archivo de 1.10 GB y obtuvo una muestra de 100,092 registros. Entre los datos señalados había nombres, correos electrónicos, teléfonos y fechas de nacimiento. La cifra de registros no significa necesariamente que se trate de 15 millones de personas distintas.
También es importante precisar el alcance: de acuerdo con la información difundida sobre el caso, no se identificaron datos financieros ni contraseñas en la muestra revisada. Aeroméxico investigaba la autenticidad, el origen y el alcance de la base, así como su relación con el evento anterior. Puedes consultar los detalles publicados por Xataka México sobre el caso de Aeroméxico.
La historia importa no solo por el volumen, sino por el tiempo transcurrido: un incidente puede ocurrir mucho antes de que una exposición se haga visible. Para una PyME, ese desfase complica saber qué información pudo quedar comprometida, qué medidas tomar y cómo comunicarse con clientes o colaboradores.
El riesgo no termina en los datos financieros
Un nombre, un correo, un teléfono y una fecha de nacimiento pueden parecer información común. En conjunto, sin embargo, ayudan a construir mensajes creíbles para engañar a una persona.
Por ejemplo, alguien podría hacerse pasar por un proveedor, un banco o un área de soporte y usar datos conocidos para solicitar información adicional. También podría intentar suplantar a un colaborador o convencerlo de entregar un código de verificación. La información personal puede servir como punto de partida para el fraude y la ingeniería social, incluso si no incluye contraseñas o números de tarjeta.
Por eso, la recomendación oficial es clara: no entregues datos personales ni códigos de verificación ante llamadas o mensajes no solicitados. Si una comunicación parece legítima, confirma la solicitud por un canal oficial conocido, no por los datos de contacto que aparezcan en el mensaje recibido.
La lección para tu empresa es mirar más allá de su propia infraestructura. Si un proveedor procesa, almacena o consulta información de tus clientes, empleados o socios, necesitas saber qué datos maneja, con qué permisos y qué medidas tiene para protegerlos. La confianza comercial no reemplaza la revisión de riesgos.
El riesgo para las PyMES ya tiene un impacto económico
El caso de Aeroméxico no es una prueba de que todas las empresas enfrenten el mismo escenario, pero sí ayuda a poner el tema en perspectiva. Según el estudio de Kaspersky citado por El Universal, 31% de las PyMES de Latinoamérica consultadas registró pérdidas económicas por ciberataques.
El mismo estudio señala que 29% identificó el robo de información sensible como uno de los principales objetivos de los atacantes. Entre las áreas más afectadas se reportaron seguridad de TI (40%), contabilidad y finanzas (36%) y TI (35%).
Estos datos muestran por qué la ciberseguridad para PyMES no es solamente una cuestión técnica. Un incidente puede impactar procesos cotidianos: facturación, atención a clientes, acceso al correo y disponibilidad de archivos. Si no sabes cómo recuperar la operación, la exposición de información puede convertirse también en un problema de continuidad de negocio.
Cuatro medidas para reducir la exposición
No necesitas empezar con un proyecto complejo. Puedes fortalecer tu protección de datos para negocios con medidas concretas, enfocadas en lo que tu empresa realmente usa.
1. Revisa identidades, permisos y accesos
Haz un inventario de quién puede acceder a tus sistemas y a la información que contienen. Incluye empleados, exempleados, contratistas y proveedores. Confirma que cada persona tenga solo los permisos necesarios y elimina accesos que ya no se utilizan.
También conviene habilitar la autenticación multifactor cuando esté disponible y revisar periódicamente las cuentas con privilegios elevados.
2. Protege el correo y capacita al equipo
El correo sigue siendo una vía común para solicitudes falsas y robo de credenciales. Refuerza los filtros de mensajes maliciosos y enseña al equipo a detenerse antes de abrir enlaces, descargar archivos o compartir códigos.
Asegúrate de que todos sepan cómo reportar una llamada, mensaje o correo sospechoso, y qué canal deben usar para verificar solicitudes urgentes.
3. Evalúa a tus proveedores
Identifica qué terceros tienen acceso a tus datos y para qué los utilizan. Antes de contratar o renovar un servicio, pregunta qué información procesa, quién puede consultarla, cómo notifica incidentes y qué apoyo ofrece si ocurre una interrupción.
Mantén documentados los accesos, las responsabilidades y los contactos para escalar una emergencia. El nivel de revisión debe corresponder a la importancia del servicio y de la información involucrada.
4. Comprueba que puedes recuperar la información
Los respaldos son parte de la prevención de pérdida de datos, pero solo aportan confianza si pueden restaurarse. Define qué archivos y sistemas son prioritarios, cuándo fue la última prueba de recuperación y cuánto tiempo tomaría volver a operar.
Si tu empresa utiliza Microsoft 365, revisa también cómo proteges el correo y los archivos de la plataforma. En esta guía para dueños de negocio sobre Microsoft 365 explicamos medidas prácticas para reducir riesgos y mejorar la recuperación.
Cómo puede ayudarte DySE
En DySE ayudamos a las empresas a proteger la operación con soluciones que se ajustan a su tamaño y necesidades. Podemos revisar contigo los accesos, proveedores, correo, respaldos y capacidad de recuperación, y priorizar los pasos más importantes.
Según la realidad de tu empresa, integramos tecnologías como Microsoft 365, Sophos, Hornetsecurity, Kaspersky y Wasabi. El objetivo no es sumar herramientas sin contexto, sino ayudarte a reducir riesgos y contar con un plan claro si algo falla.
Puedes conocer nuestros servicios de TI para PyMES y solicitar un diagnóstico gratuito en nuestra página de contacto para revisar tus puntos de exposición y las opciones de mejora. Atender estas preguntas ahora puede ayudarte a evitar decisiones apresuradas durante un incidente.
La filtración atribuida a Aeroméxico recuerda que un proveedor puede formar parte de tu estrategia tecnológica y, al mismo tiempo, de tu mapa de riesgos. Revisar accesos, proteger el correo, capacitar al equipo y probar los respaldos son pasos concretos para fortalecer la continuidad de negocio.
Solicita un diagnóstico con DySE y revisemos juntos qué conviene priorizar en tu empresa.
¿Tu empresa sabe qué pasaría si la información de un tercero terminara en manos equivocadas?