iFood confirmó que 1,2 millones de usuarios tuvieron datos filtrados. El hacker en BreachForums afirma que son 43,84 millones. La diferencia entre los números es de 36 veces. Y la empresa no notificó a la ANPD porque "no hay riesgo relevante". De eso tenemos que hablar.
La línea de tiempo de la fuga
El 28 de mayo de 2026, el hacker conocido como "bacen" publicó en BreachForums una oferta de 43,84 millones de registros con CPF, nombre, correo electrónico, teléfono y tarjetas. Fecha límite para negociación: 10 de junio.
Cinco días después, el 3 de junio, iFood emitió una nota confirmando 1,2 millones de usuarios afectados, cerca de 2% de la base total. El incidente habría ocurrido en diciembre de 2025. Según la empresa, los datos expuestos serían solo nombre y CPF, sin contraseñas ni información financiera.
La nota oficial de iFood fue directa: "Incidente aislado, diciembre de 2025, rápidamente neutralizado. Nombre y CPF. Sin contraseñas, medios de pago ni registros financieros." Y cerró: "El evento no acarrea riesgo ni daño relevante a los titulares".
Por eso no notificó a la ANPD. Ni a los usuarios.
La discrepancia de 36 veces
1,2 millones contra 43,84 millones. ¿Cómo explicar una diferencia de esa magnitud? Tres escenarios son posibles, y ninguno es confortable.
Primero: el hacker infló el número para aumentar el valor de la extorsión. Es una práctica común en BreachForums: inflar volúmenes para presionar la negociación.
Segundo: el material combina datos de múltiples fuentes. Otras fugas, infostealers, bases públicas. El hacker reúne registros de varios orígenes y atribuye todo a un único incidente para dar credibilidad a la oferta.
Tercero: iFood está subnotificando. Una discrepancia de 36x es demasiado grande para descartarla sin investigación. La ANPD va a oficiar a la empresa, y la extensión real del incidente será uno de los puntos centrales.
Lo que es seguro: 1,2 millones de registros con nombre y CPF están en circulación. Eso, por sí solo, ya es grave. Y la ausencia de claridad sobre el número real es exactamente el tipo de escenario en el que la notificación a la ANPD debería haberse hecho de inmediato, no semanas después, bajo presión pública.
Por qué "nombre y CPF no tienen riesgo relevante" es una afirmación peligrosa
Decir que nombre y CPF "no acarrean riesgo relevante" ignora cómo funciona el fraude en Brasil. El CPF es el equivalente brasileño del SSN estadounidense, público por diseño y llave para todo el sistema financiero.
Con nombre y CPF en mano, un defraudador puede abrir cuentas fraudulentas en fintechs y bancos digitales. Puede ejecutar SIM swap para interceptar SMS de verificación y asumir cuentas bancarias. Puede montar campañas de phishing y smishing dirigidas, usando datos verificados para ganarse la confianza de la víctima. Puede cometer fraude de identidad para contratar servicios y hacer compras.
iFood tiene 60 millones de usuarios. Muchos usan la plataforma como principal canal de alimentación y pago. Esos usuarios confían sus datos financieros a la app. Decir que la fuga de CPF de 1,2 millones de ellos no tiene riesgo relevante es subestimar sistemáticamente el escenario de fraude brasileño.
La gravedad no está en el tipo de dato aislado, está en la combinación y en el contexto. Nombre y CPF, juntos, en un país donde el CPF abre puertas en el sistema financiero, representan riesgo relevante por definición.
La obligación legal que fue ignorada
El reglamento de la ANPD exige comunicación en un plazo máximo de 3 días hábiles para incidentes que presenten riesgo relevante a los titulares. La obligación existe incluso cuando hay incertidumbre sobre la extensión del incidente. Es decir: si usted no sabe con certeza cuántas personas fueron afectadas, eso es motivo de más para notificar, no de menos.
La ANPD ya anunció que va a oficiar a iFood. El camino es el mismo que vimos en otros casos: la autoridad abre procedimiento, solicita información y evalúa si hubo incumplimiento de la LGPD.
El problema estructural va más allá de iFood. Cuando una empresa decide unilateralmente que el riesgo no es relevante, la ley pierde el propósito. La LGPD existe para garantizar transparencia. Si el titular no sabe que sus datos están en circulación, no puede protegerse. Y 1,2 millones de personas quedaron sin saberlo.
Ese es el punto central: la notificación no es solo una formalidad burocrática. Es el mecanismo que permite al titular actuar: cambiar contraseñas, monitorear cuentas, bloquear crédito. Sin notificación, la fuga es silenciosa. Y el daño se multiplica exactamente porque nadie fue avisado.
Contexto y lecciones
Este incidente no es aislado en la historia reciente de iFood. En octubre de 2025, dos exfuncionarios fueron objetivo de una operación policial por vender datos a un competidor. La empresa no detalló el vector del incidente de diciembre de 2025: si fue acceso interno comprometido, vulnerabilidad de infraestructura u otro vector.
Lo que aprendemos con casos como este: la transparencia no es opcional, es obligación legal. La evaluación de riesgo necesita considerar el contexto real de fraude en Brasil, no una lectura técnica restrictiva. Y la gobernanza de datos no es solo tener políticas en el papel, es tener procesos que funcionan cuando el incidente ocurre.
En Tech86 ayudamos a empresas a implementar gobernanza de datos y respuesta a incidentes con la transparencia en primer lugar. Porque cuando la fuga ocurre, y va a ocurrir, lo que define el daño no es solo el incidente, es la respuesta.