La filtración de datos de iFood expuso la información de más de un millón de usuarios. La vulnerabilidad que lo permitió es más común de lo que parece.

La filtración de datos de iFood tardó meses en hacerse pública. El incidente ocurrió en diciembre de 2025. La confirmación llegó recién en junio de 2026, después de que delincuentes anunciaran la venta de los datos en foros de la dark web. La empresa no se anticipó a la noticia; la noticia la presionó. Según un informe de TecMundo, más de un millón de usuarios vieron expuestos sus nombres, CPF (número de identificación fiscal brasileño), números de teléfono y direcciones. iFood confirmó que las contraseñas y los datos financieros no se vieron afectados. Véase el informe de TecMundo. Véase también el comunicado oficial de iFood. Aun así, la información expuesta es suficiente para realizar ingeniería social, solicitudes de crédito no autorizadas y ataques de phishing dirigidos.

El fallo residía en un sistema que, por definición, debería haber sido seguro.

La vulnerabilidad era del tipo IDOR, dentro de SIRA, el Sistema iFood para Responder a las Autoridades: un portal interno creado para gestionar solicitudes de vigilancia judicial, administrativa y sanitaria. Un canal creado para servir a las autoridades terminó exponiendo a ciudadanos comunes. Una falla IDOR ocurre cuando un sistema permite que alguien acceda a los datos de otra persona alterando un parámetro simple, como un número de identificación. Es una de las vulnerabilidades más antiguas en el desarrollo web. Los investigadores la han estado documentando durante décadas. Todavía aparece en los sistemas de grandes empresas porque continúa siendo subestimada en las revisiones de seguridad.

La versión de los hackers apunta a una escala mucho mayor.

Si bien iFood admite que más de un millón de registros fueron comprometidos, un atacante identificado como "bacen" publicó una versión diferente en BreachForums: más de 43 millones de registros obtenidos de la plataforma, incluyendo CPF (número de identificación fiscal brasileño), correo electrónico, número de teléfono e información de pago. Según SC Media, el hacker le dio a la empresa hasta el 10 de junio de 2026 para pagar un rescate. De lo contrario, liberarían los datos por etapas. iFood niega tener evidencia de una brecha de esta magnitud. Sin embargo, investigadores de seguridad señalan que ambos incidentes podrían ser independientes, lo que haría que ambas versiones fueran ciertas simultáneamente. Actualización: el plazo dado por el hacker expiró el 10 de junio sin confirmación pública del pago ni la liberación de los datos prometidos.

La filtración de datos de iFood y la respuesta de la ANPD: no se respetó el plazo establecido por la LGPD.

La Autoridad Nacional de Protección de Datos (ANPD) de Brasil ha notificado a iFood para que proporcione aclaraciones, según informa CNN Brasil. La LGPD (Ley General de Protección de Datos de Brasil) es clara: las empresas deben reportar incidentes con riesgo potencial a la autoridad y a los usuarios dentro de los tres días hábiles siguientes. iFood optó por no enviar alertas individuales a los afectados, argumentando que la ANPD exime de la notificación cuando el riesgo se considera bajo. Los expertos cuestionan esta interpretación: un CPF (número de identificación fiscal brasileño) expuesto representa un riesgo real. Es la clave que abre el crédito, valida la identidad y alimenta el fraude. La investigación de la ANPD permanece abierta y no se han anunciado multas. La LGPD prevé sanciones de hasta el 2% de los ingresos brutos en Brasil, con un límite de R$ 50 millones por infracción.

Filtración de datos de iFood: cómo proteger sus datos ahora.

Es importante tomar algunas medidas ahora. Active la verificación en dos pasos en la aplicación. Revise su CPF (Identificación de Contribuyente Brasileño) en el sistema Registrato del Banco Central para detectar líneas de crédito abiertas de forma irregular. Acceda a Registrato. Desconfíe de cualquier contacto que ya conozca su nombre, dirección o historial de pedidos: esto es una clara señal de ingeniería social. Los correos electrónicos y mensajes SMS que utilizan datos personales para aparentar ser oficiales son técnicas comunes de phishing después de este tipo de filtraciones de datos.

Lo que este caso nos enseña sobre seguridad y privacidad de los datos.

La filtración de datos de iFood es sintomática. Empresas de todos los sectores acumulan datos de clientes sin procesos de protección formales, sin saber cómo responder a incidentes dentro del plazo legal ni cómo comunicarse adecuadamente con las autoridades. Cuando se produce la filtración, la crisis ya está en marcha. La norma ISO 27001 abarca precisamente este ámbito: controles técnicos, gestión de vulnerabilidades, respuesta a incidentes y comunicación con las partes afectadas. La ISO 27701 amplía esta cobertura a la privacidad de los datos y al cumplimiento de la LGPD (Ley General de Protección de Datos de Brasil). En conjunto, estas normas abordan el tipo de deficiencia que hizo posible el caso de iFood. Si su empresa aún no cuenta con un plan formal de seguridad y privacidad de datos, el momento de estructurarlo es antes del próximo incidente, no después. Promove implementa las normas ISO 27001 e ISO 27701 y realiza evaluaciones con evaluadores certificados. Contáctenos y descubra qué necesita su empresa para lograr el cumplimiento normativo.