Los compradores que adquirieron entradas a través de Ticketmaster Brasil a lo largo de 2025 comenzaron a recibir notificaciones por correo electrónico desde el miércoles (14) sobre un incidente de ciberseguridad que comprometió información personal y registros de transacciones comerciales. La exposición de los archivos se originó en un servicio externo contratado por la boletera y ya fue reportada ante el organismo regulador federal.
De acuerdo con la postura oficial de la compañía, la brecha informática se produjo a raíz de una vulnerabilidad temporal detectada dentro de una herramienta tercerizada de análisis de datos, cuya infraestructura opera de forma aislada respecto al sistema central de venta de boletos. “Ticketmaster Brasil confirma que notificó recientemente a los fans afectados por un incidente de seguridad que involucra una herramienta de análisis de datos provista por terceros. Se adoptaron medidas inmediatas para contener el incidente y se abrió una investigación con el apoyo de especialistas externos en ciberseguridad“, señaló la empresa en un comunicado oficial remitido a la prensa.
Registros personales y bancarios comprometidos en las compras de entradas
El alcance de los archivos vulnerados varía según la información que cada consumidor completó en el formulario digital al momento de efectuar el pago de sus localidades. La distribuidora de entradas sostiene que su red principal no sufrió intrusiones directas durante el episodio reportado en octubre de 2026. “La plataforma de venta de entradas y los sistemas de cuentas de los fans no se vieron afectados, y el incidente no involucró números completos de tarjetas de crédito, números de cuentas bancarias ni credenciales de acceso a las cuentas de Ticketmaster”, declaró Ticketmaster Brasil en su nota oficial.
El listado de datos de identificación y registros de pago que quedaron potencialmente expuestos en las operaciones efectuadas durante el año 2025 comprende los siguientes elementos:
- Nombre completo, género declarado y rango de edad o fecha de nacimiento del titular;
- Número del Cadastro de Pessoas Físicas (CPF, el registro oficial de identificación tributaria de los ciudadanos en Brasil) u otro documento de identidad proporcionado en la compra;
- Número de teléfono de contacto y dirección de correo electrónico asociada al perfil;
- Domicilio residencial detallado con barrio, ciudad y estado;
- Modalidad de pago empleada en la operación comercial junto con los últimos 4 dígitos de la tarjeta de crédito utilizada.
Reporte ante el regulador federal y plazos legales de comunicación
En el mensaje electrónico enviado a los usuarios a partir del 14 de octubre de 2026, la boletera precisó que la auditoría forense interna, ejecutada junto con consultores externos en seguridad informática, finalizó en septiembre de 2026. El jueves (15), la firma ratificó el envío de la notificación formal del caso a la Autoridade Nacional de Proteção de Dados (ANPD, la agencia federal brasileña encargada de supervisar el cumplimiento de la ley de protección de datos personales). Bajo las reglas de la Resolução CD/ANPD nº 15/2024, normativa que regula el aviso de incidentes de seguridad en el país sudamericano, las compañías tienen la obligación de informar a la entidad gubernamental y a los ciudadanos afectados dentro de un plazo general de tres días hábiles contados desde que toman conocimiento de eventos que puedan acarrear riesgo o daño relevante, permitiéndose la entrega de reportes preliminares sujetos a ampliación posterior.
Consulte también: Steam sufre megafiltración de datos y saca a la luz Half-Life 3 y prototipos de juegos
Consultada para aclarar la cronología del expediente y la posible apertura de un procedimiento sancionador o de fiscalización por el lapso transcurrido entre el cierre de la pesquisa interna en septiembre y el aviso a los clientes en octubre, la oficina de prensa de la ANPD indicó el lunes (19) que el requerimiento fue derivado al departamento correspondiente. “Recibimos su solicitud y la remitimos al área técnica. Tan pronto como obtengamos una respuesta, retomaremos el contacto”, informó la agencia reguladora en un comunicado oficial.
Todavía no existe confirmación oficial acerca de la cifra total de consumidores afectados por la filtración en el mercado local, un número que no fue revelado ni por Ticketmaster ni por la ANPD. Asimismo, continúan sin divulgarse la razón social del proveedor responsable de la herramienta de análisis donde ocurrió la falla, la fecha exacta en que se produjo el acceso no autorizado, el momento en que se detectó la vulnerabilidad y el día preciso en que la autoridad brasileña recibió el expediente. Tampoco se ha esclarecido si la falla técnica alcanzó a operaciones fuera del territorio brasileño o si los compradores locales contarán con servicios gratuitos de monitoreo crediticio.
Medidas de prevención contra fraudes y canales de atención al usuario
La combinación de historiales reales de compra de espectáculos con documentos de identidad y datos de contacto facilita la ejecución de estafas dirigidas, en las cuales delincuentes envían comunicaciones falsas que mencionan conciertos específicos o supuestos reembolsos para engañar a los titulares. “La empresa proporcionó a los fans afectados orientaciones para ayudarlos a proteger su información personal y mantiene el refuerzo de sus medidas de seguridad de datos”, afirmó Ticketmaster Brasil en su pronunciamiento.
La recomendación para las personas que adquirieron boletos en la plataforma durante el transcurso de 2025 consiste en revisar la bandeja de entrada del correo electrónico vinculado a su cuenta, aunque haber efectuado transacciones en ese período no implica de manera automática que el perfil haya sido vulnerado. La empresa advirtió a los clientes que desconfíen de mensajes sospechosos, dado que sus canales institucionales nunca solicitan contraseñas ni datos bancarios completos. Para resolver consultas puntuales sobre el suceso, la compañía habilitó una casilla de correo electrónico exclusiva para la atención del incidente de seguridad, además de su canal habitual de privacidad en el país.
Siga: El modelo de inteligencia artificial Astra de OpenAI alcanza un nivel crítico de ciberseguridad
Contratos locales de la boletera y antecedentes judiciales de Live Nation
Dentro del sector de eventos en Sudamérica, la confirmación del incidente informático se produce pocos días después de nuevos acuerdos comerciales cerrados por la plataforma, cuya presidencia global está a cargo de Saumil Mehta. El 2 de octubre de 2026, Ticketmaster oficializó la firma de un contrato para asumir la administración de la venta de entradas y del programa de socios fanáticos del São Paulo Futebol Clube a partir del 1 de enero de 2027; dado que la brecha de seguridad afectó exclusivamente a registros de 2025, no existen indicios de exposición de bases vinculadas a esta alianza deportiva. Previamente, en septiembre de 2026, publicaciones en foros clandestinos de ciberdelincuencia ofertaron una supuesta base de datos de compradores del festival musical The Town 2025 en América Latina, pero especialistas en seguridad digital no lograron comprobar qué organización custodiaba esos archivos ni establecer un vínculo directo con la falla reportada en octubre.
En el ámbito internacional, Live Nation Entertainment, corporación matriz de Ticketmaster, ha enfrentado otros episodios de vulneración de sistemas sin conexión probada con el expediente abierto en la ANPD. El 1 de octubre de 2026, la casa matriz notificó a la Fiscalía General de Vermont, en Estados Unidos, sobre un incidente separado que expuso números de Seguro Social (SSN, el registro estadounidense de identificación fiscal y previsional), documentos oficiales de identidad e historiales médicos, hecho que derivó en la presentación de al menos tres demandas colectivas ante la Corte Distrital de California los días 6 y 7 de octubre de 2026, impulsadas por Amanda Fraga, Toby Gosman e Isiah Ramos. Con anterioridad, el 20 de mayo de 2024, Live Nation había detectado actividad no autorizada en una base de datos en la nube operada por la firma externa Snowflake, episodio en el que el grupo de ciberdelincuentes ShinyHunters aseguró haber sustraído registros de cerca de 560 millones de clientes de Ticketmaster. Por aquella campaña de intrusiones contra cuentas alojadas en Snowflake en 2024, que según el Departamento de Justicia estadounidense comprometió a más de 165 organizaciones, el hacker canadiense Connor Riley Moucka, de 26 años, se declaró culpable ante la justicia federal en Seattle el 5 de agosto de 2026 y enfrenta una pena de hasta 32 años de prisión en la audiencia de lectura de sentencia programada para el 27 de octubre de 2026.
