LATAM Airlines confirmó una brecha de datos que afectó a clientes de su programa de lealtad, LATAM Pass. La aerolínea detectó el incidente el 29 de julio de 2026, pero notificó públicamente a los clientes afectados casi tres semanas después, el 19 de agosto. La compañía reportó el caso a la Autoridad Nacional de Protección de Datos de Brasil (ANPD) en cumplimiento de la Ley General de Protección de Datos (LGPD). LATAM no reveló cuántos miembros fueron afectados; solo describió el alcance como "una porción limitada" de su base de usuarios.
Cómo ocurrió el ataque
Según la propia LATAM, una falla en sus sistemas permitió consultas automatizadas no autorizadas contra registros de datos de clientes. Este patrón —acceso masivo y repetitivo a una aplicación expuesta, sin que medie necesariamente el robo previo de credenciales— es consistente con técnicas de abuso de APIs y explotación de aplicaciones de cara al público (MITRE ATT&CK T1190 – Exploit Public-Facing Application), aunque la aerolínea no ha detallado públicamente el vector de acceso inicial. Entre los datos expuestos están nombre completo, fecha de nacimiento, correo electrónico, teléfono, domicilio, número de membresía LATAM Pass, categoría de lealtad y saldo de millas. También se expusieron datos parciales de tarjeta (los primeros seis y últimos cuatro dígitos, marca, nombre del titular y fecha de vencimiento), pero LATAM afirma que los números completos de tarjeta, los códigos de seguridad y las contraseñas de clientes no fueron comprometidos. Como respuesta, la aerolínea bloqueó direcciones IP sospechosas, corrigió el código afectado y añadió controles adicionales contra accesos automatizados.
Por qué importa
Este caso confirma un riesgo que las empresas en LATAM suelen subestimar: no todas las brechas empiezan con un correo de phishing o una credencial robada. Una aplicación expuesta a internet, sin controles suficientes contra consultas automatizadas o abuso de API, puede convertirse en una fuente silenciosa de fuga de datos durante semanas antes de ser detectada. El caso LATAM también ilustra el costo reputacional de una ventana de notificación larga: casi tres semanas entre la detección y la comunicación a clientes, un plazo que en jurisdicciones con marcos como la LGPD en Brasil, y regulaciones equivalentes en otros países de la región, puede derivar en escrutinio regulatorio adicional. Para sectores con grandes volúmenes de datos personales y financieros —aerolíneas, retail, banca, fintech—, la lección es la misma: los programas de lealtad y las plataformas de cara al cliente son un objetivo de alto valor y requieren el mismo rigor de seguridad que los sistemas transaccionales centrales.
Qué puedes hacer
- Evalúa la resistencia real de tus aplicaciones y APIs expuestas a internet frente a consultas automatizadas, scraping y abuso de lógica de negocio con un pentest especializado (dAttack) que vaya más allá de las vulnerabilidades técnicas conocidas.
- Formaliza tus procesos de gestión de incidentes y notificación —incluyendo tiempos de respuesta ante autoridades y clientes— dentro de un sistema de gestión alineado a ISO 27001 (dStandard), que reduce el riesgo de plazos de divulgación prolongados como el de este caso.
- Implementa monitoreo continuo con capacidad de detectar patrones anómalos de consulta o acceso masivo a bases de datos de clientes a través de un servicio de monitoreo y respuesta a incidentes 24/7 (dSOC), que acorta la ventana entre el compromiso inicial y la contención.
En Delta Protect acompañamos a empresas en LATAM a blindar sus aplicaciones de cara al cliente y a construir procesos de respuesta que reduzcan tanto el tiempo de detección como el riesgo regulatorio cuando ocurre un incidente.
