iFood declaró el miércoles 3 de junio que identificó una brecha de seguridad que afectó a aproximadamente 1.2 millones de usuarios, lo que equivale a cerca del 2 % de su clientela. Según la empresa, el ciberataque ocurrió en diciembre de 2025, pero fue detectado y contenido poco después. La revelación se produjo luego de que un usuario de BreachForums, un foro de la web oscura conocido por la venta e intercambio de información robada, afirmara la semana pasada poseer datos de más de 43.84 millones de clientes brasileños de iFood. El supuesto conjunto de datos incluía números de CPF, nombres, direcciones de correo electrónico, números de teléfono e información relacionada con tarjetas de crédito.
Este contenido es solo para suscriptores
Para desbloquear este contenido, suscríbete a Informes INTERLIRA.
Autoridades
La empresa argumentó que no notificó a la Autoridad Nacional de Protección de Datos (ANPD) porque, según su evaluación, el incidente no representaba un riesgo significativo ni causaba daños sustanciales a las personas afectadas, de acuerdo con los criterios establecidos por la normativa brasileña. Sin embargo, la ANPD informó a Folha de S.Paulo que ya se había puesto en contacto formalmente con iFood y había solicitado información detallada sobre el incidente y sus posibles consecuencias.
Deber de comunicar
La ANPD declaró que, según el Reglamento de Comunicación de Incidentes de Brasil, los responsables del tratamiento de datos están obligados a notificar tanto a la autoridad como a las personas afectadas en un plazo de tres días hábiles cuando un incidente de seguridad pueda suponer un riesgo o daño significativo para los titulares de los datos. Rafael Zanatta, codirector de la organización Data Privacy Brasil, argumentó que no cabe duda de que el incidente cumple con los requisitos de notificación. Según él, una brecha que afecta a más de un millón de personas constituye un evento de gran magnitud. Señaló que la ANPD evalúa no solo el número de usuarios afectados, sino también el alcance geográfico del incidente. Dada la presencia nacional de iFood, Zanatta sostiene que la empresa tenía la obligación de notificar la brecha y podría enfrentar consecuencias regulatorias si no lo hacía.
Daño potencial
Según Zanatta, los riesgos más significativos asociados al incidente no están relacionados con el fraude financiero que involucre contraseñas o tarjetas de pago, ya que actualmente no hay indicios de que dicha información haya sido expuesta. En cambio, la principal preocupación radica en los ataques de ingeniería social, las campañas de phishing y la distribución de malware a través de enlaces, correos electrónicos o mensajes de texto fraudulentos. Aconsejó a los usuarios que tengan precaución al recibir mensajes por WhatsApp, correo electrónico o SMS, especialmente cuando no se puede verificar de forma independiente al remitente. Los expertos advierten que la información personal filtrada puede ser utilizada por ciberdelincuentes para crear estafas convincentes diseñadas para obtener datos confidenciales adicionales u obtener acceso no autorizado a cuentas y dispositivos.
Análisis:
Desde la perspectiva de la ciberseguridad, el aspecto más significativo de este caso no es necesariamente el número de usuarios afectados, sino el debate en torno a las obligaciones de divulgación y la evaluación de riesgos. Una brecha de seguridad que afecta a aproximadamente 1.2 millones de personas representa un incidente de seguridad a gran escala según cualquier criterio razonable, especialmente cuando afecta a una plataforma con alcance nacional. El desacuerdo entre iFood y la Autoridad Nacional de Protección de Datos ilustra un desafío más amplio al que se enfrentan los reguladores en todo el mundo: determinar cuándo un incidente crea un riesgo suficiente como para requerir una notificación obligatoria. La transparencia se ha convertido en un componente central de los marcos modernos de protección de datos, ya que la comunicación oportuna permite a los usuarios tomar medidas preventivas antes de que los ciberdelincuentes puedan explotar la información comprometida.
Fuentes: A Folha de SP.
