La Secretaría Anticorrupción investiga la venta de datos personales en Telegram atribuidos a call centers. Qué está confirmado y qué no.
Resumen
La Secretaría Anticorrupción y Buen Gobierno (SABG) abrió de oficio una investigación por un anuncio en Telegram que pone a la venta bases de datos con presuntamente más de 12.9 millones de registros personales. Según el vendedor, esa información proviene de distintos call centers. La autoridad revisó solo una muestra de 13 mil registros. En ella aparecen nombres de 23 marcas, entre bancos y tiendas departamentales. Hasta ahora no se ha confirmado quién extrajo los datos, si la cifra total es real ni si alguna de esas empresas sufrió un ataque directo a sus sistemas.
Desarrollo de la información
El anuncio se publicó en Telegram el 22 de septiembre de 2026. Ahí un usuario ofrecía bases de datos que, según su propia descripción, correspondían a diferentes call centers. La SABG informó que detectó la publicación mediante un monitoreo activo y dio a conocer el caso en un comunicado del 24 de septiembre.
De acuerdo con la dependencia, los registros contendrían nombre completo, correo electrónico, teléfono fijo y celular, fecha de nacimiento, RFC, domicilio y datos bancarios, entre otros. Para analizar su procedencia, la Secretaría consiguió una muestra de 13 mil registros repartidos en 13 bases de datos distintas, vinculadas a varias personas morales.
En esa muestra se identificaron los nombres comerciales de Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX, Liverpool, Sam’s Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana.
La SABG anunció que analizará el material recabado y que iniciará las investigaciones necesarias para determinar quién es responsable de las bases comprometidas. Como fundamento cita la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su propio Reglamento Interior.
¿Qué dicen las fuentes?
El comunicado oficial usa en todo momento un lenguaje condicional. Habla de “indicios” de una “posible” filtración y de bases “supuestamente” atribuibles a call centers. No menciona ningún call center por nombre ni establece plazos para la investigación.
Los medios que revisaron el caso con más cuidado coinciden en tres límites del comunicado. Informador señaló que la cifra total corresponde a lo que anuncia el vendedor, no a una revisión completa hecha por la autoridad. Publimetro aclaró que la presencia de una marca en las bases no significa que sus sistemas hayan sido vulnerados directamente. El Financiero destacó que la dependencia no dijo si actuará contra quien vende la información ni contra el canal donde se ofrecía.
Al momento de esta publicación, El Camaleón no localizó posicionamientos públicos de las empresas mencionadas.
¿Por qué importa?
Este caso es uno de los primeros de alto perfil que atiende la SABG con sus nuevas atribuciones. Con la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, vigente desde el 21 de marzo de 2025, las facultades que tenía el INAI sobre datos en manos de empresas privadas pasaron a esta Secretaría. Ahora es la autoridad encargada de vigilar que las empresas cumplan la ley y de imponer sanciones cuando no lo hacen.
Para las personas, el riesgo es concreto. Una base que junta nombre, teléfono, domicilio, RFC y datos bancarios es justo la materia prima que se usa en fraudes telefónicos, suplantación de identidad y extorsiones. Quien llama con esa información puede hacerse pasar por un banco o una tienda de forma muy convincente.
El caso también pone bajo revisión a las empresas que contratan proveedores externos para atender a sus clientes. Si los datos salieron de un call center subcontratado, la pregunta es quién supervisaba el manejo de esa información en toda la cadena.
Señales que generan dudas
La cifra de 12.9 millones es la que anuncia quien vende la información. La autoridad solo ha revisado alrededor del 0.1% de ese volumen. Además, un registro no equivale a una persona. Una misma persona puede aparecer en varias de las 13 bases, así que el número real de afectados podría ser menor.
Entre las marcas aparece IXE, que Banorte absorbió hace años. Esto abre la posibilidad de que una parte del material sea información antigua que se reempaqueta y se vuelve a vender. Es una práctica conocida en estos mercados, pero en este caso no está confirmada.
Varios medios reprodujeron el caso con afirmaciones que el comunicado no sostiene:
- Un titular aseguró que el gobierno “confirmó” la filtración de datos de 12.9 millones de personas. La autoridad habló de indicios y de registros, no de personas.
- Una nota afirmó que la muestra sirvió para confirmar la autenticidad del material. El comunicado no dice eso.
- Otro medio atribuyó el hallazgo a expertos en ciberseguridad, cuando la SABG lo presenta como resultado de su propio monitoreo.
- Algunas publicaciones relacionaron el caso con el registro obligatorio de líneas telefónicas. El comunicado no menciona ninguna relación con ese padrón.
Verificación de la información
Verificado: que la SABG anunció una investigación de oficio el 24 de septiembre de 2026; que el anuncio en Telegram se publicó el 22 de septiembre; que la autoridad obtuvo una muestra de 13 mil registros de 13 bases; que en esa muestra aparecen los nombres comerciales de 23 marcas; y que desde marzo de 2025 la SABG es la autoridad competente en protección de datos en posesión de particulares.
Razonablemente inferible: que el número de personas afectadas es menor a 12.9 millones por la posible duplicidad de registros entre bases; que la hipótesis principal apunta a proveedores externos con acceso a datos de clientes y no a ataques directos contra las marcas; y que la combinación de datos expuestos aumenta el riesgo de fraude telefónico.
Suposiciones no verificadas: que el volumen total anunciado sea auténtico; que alguna de las 23 empresas haya sufrido una vulneración propia; que los datos sean recientes; y que exista relación con el registro de líneas telefónicas.
Fuentes
- Secretaría Anticorrupción y Buen Gobierno, comunicado oficial — 24 de septiembre de 2026
- El Universal — 24 de septiembre de 2026
- El Heraldo de México — 24 de septiembre de 2026
- El Financiero — 24 de septiembre de 2026
- Informador — 24 de septiembre de 2026
- Publimetro — 24 de septiembre de 2026
- Código Qro — 24 de septiembre de 2026
- Basham, Ringe y Correa — 30 de septiembre de 2026
- Hogan Lovells, nueva LFPDPPP — 2025