Claro República Dominicana forma parte del Grupo América Móvil, uno de los mayores Grupos de telecomunicaciones del mundo y líder en América Latina. El Grupo cuenta con cientos de millones de abonados y mantiene una presencia particularmente extensa en América Latina y el Caribe. Opera principalmente bajo la marca Claro en mercados como República Dominicana, Brasil, Argentina, Colombia, Perú, Ecuador, Chile, Paraguay, Uruguay, Guatemala, El Salvador, Honduras, Nicaragua, Costa Rica y Puerto Rico, mientras que en México su operación móvil utiliza la marca Telcel y la fija Telmex. Esta dimensión resulta esencial para nuestro análisis: cuando hablamos de la protección de la información dentro de América Móvil, no hablamos únicamente de la seguridad informática de una compañía local, sino de un Grupo multinacional al que cientos de millones de usuarios confían diariamente sus comunicaciones y datos personales.

BAJO LA LUPA

Precisamente por esa dimensión, los incidentes de ciberseguridad que afectan a compañías pertenecientes al Grupo merecen ser observados no solamente como acontecimientos tecnológicos aislados, sino también desde la perspectiva del comportamiento corporativo frente al riesgo.

Nuestra pregunta no será si una empresa de telecomunicaciones puede sufrir un ciberataque. Ninguna organización conectada puede garantizar un riesgo cero. La pregunta que nos interesa es otra:

¿Cómo responde América Móvil cuando descubre —o existen indicios razonables para sospechar— que los sistemas o los datos de sus clientes pueden haber sido comprometidos?

Para intentar responderla pondremos bajo la misma lupa tres episodios ocurridos en diferentes mercados del Grupo: Claro Centroamérica en 2024, Telcel México en enero de 2026 y el incidente actualmente atribuido a Claro República Dominicana en septiembre de 2026.

No pretendemos establecer de antemano que los tres incidentes tengan un origen tecnológico común, ni atribuir responsabilidades antes de que exista evidencia suficiente. Lo que sí podemos comparar es algo observable: cómo reaccionó la organización, cuándo reconoció la existencia del problema, qué comunicó a las autoridades, qué explicó a sus clientes y qué información permaneció sin respuesta.

Porque en ciberseguridad existe una diferencia fundamental entre contener un incidente y comunicar un incidente. Y cuando quien custodia la información es una empresa de telecomunicaciones con cientos de millones de usuarios, ambas responsabilidades adquieren una dimensión extraordinaria.

PRIMER ANTECEDENTE: CLARO CENTROAMÉRICA, 2024

El 25 de enero de 2024 Claro identificó actividad anómala en algunos de sus sistemas en Centroamérica. La compañía determinó posteriormente que se trataba de un incidente de ransomware. Equipos afectados fueron aislados y otros sistemas se apagaron preventivamente mientras avanzaba la investigación. El episodio tuvo impacto en Guatemala, El Salvador, Honduras, Nicaragua y Costa Rica.

La respuesta técnica descrita por la compañía siguió una lógica reconocible de gestión de incidentes: detectar, aislar, contener y recuperar. Claro mantuvo parte de su operación mediante mecanismos alternativos y comenzó la restauración de los equipos afectados. Posteriormente, América Móvil informó que abrió temporalmente algunos servicios sin cargo para mantener conectados a los usuarios mientras se normalizaban los sistemas.

Sin embargo, desde la perspectiva de la comunicación aparece el primer elemento que interesa a nuestra lupa. La confirmación pública del ransomware llegó el 2 de febrero, ocho días después de la detección inicial. En Costa Rica, la Superintendencia de Telecomunicaciones (SUTEL), homóloga de INDOTEL, informó ese mismo día que había enviado una consulta formal a Claro para obtener el detalle de la afectación y que se encontraba a la espera de la respuesta oficial.

Dos semanas después del inicio del incidente, SUTEL confirmó la recuperación de las plataformas de interacción con clientes prepago y verificó mediante pruebas el funcionamiento de recargas, consumo de saldos y otros procesos. El regulador costarricense precisó que entre las plataformas afectadas se encontraban las de consulta y recarga de saldo prepago, el reporte de información a la Plataforma de Validación de Celulares y casos puntuales relacionados con portabilidad numérica. Los servicios básicos de telefonía e Internet, según SUTEL, no fueron interrumpidos.

El incidente también tuvo consecuencias comerciales. América Móvil reportó posteriormente que la imposibilidad temporal de activar líneas prepago y cobrar determinado tráfico contribuyó a una reducción de suscriptores prepago en Centroamérica durante el trimestre.

¿QUÉ NOS DICE LA RESPUESTA CORPORATIVA?

El caso de 2024 permite distinguir dos planos. En el plano operacional observamos contención, continuidad y recuperación. En el plano de la transparencia pública, la información fue más gradual: primero se conocieron las fallas, después se confirmó el ransomware y el regulador tuvo que solicitar formalmente el detalle de la afectación.

Esto no demuestra que Claro ocultara una filtración de datos. Tampoco existe, en las fuentes públicas revisadas, una demostración concluyente de que aquel Ransomware produjera una exfiltración masiva de información personal. Precisamente por eso, la pregunta relevante no consiste en atribuir lo que no está probado, sino en observar qué información recibió el cliente mientras se investigaba el incidente y cuánto tardó en conocer la naturaleza real del problema.

Primera observación bajo la lupa: ante un incidente cibernético confirmado, la prioridad pública de Claro estuvo centrada en la continuidad y recuperación del servicio; la explicación detallada del alcance avanzó de forma más gradual y bajo seguimiento del regulador.

SEGUNDO ANTECEDENTE: TELCEL MÉXICO, ENERO DE 2026

Dos años después aparece un episodio de naturaleza diferente dentro del mismo Grupo. En enero de 2026, tras la entrada en vigor del registro obligatorio de líneas móviles en México, usuarios e investigadores alertaron sobre una posible vulnerabilidad en el portal de Telcel destinado a vincular las líneas con la identidad de sus titulares.

Telcel sostuvo que la información de sus clientes se encontraba protegida y que no tenía evidencia de una filtración de datos personales. Al mismo tiempo, un directivo de la compañía reconoció que el equipo interno de ciberseguridad había detectado una “vulnerabilidad técnica”. El portal fue retirado temporalmente mientras se corregía el problema y se reforzaron los controles de seguridad.

Este episodio es especialmente útil para nuestro análisis porque muestra una distinción corporativa muy precisa: reconocer la existencia de una vulnerabilidad no equivale a reconocer una filtración. Desde el punto de vista técnico, esa diferencia es correcta; una vulnerabilidad puede existir sin haber sido explotada. Desde el punto de vista del usuario, sin embargo, surge otra pregunta: ¿qué grado de información debe recibir cuando la vulnerabilidad afecta una plataforma que procesa datos de identidad vinculados directamente con su número telefónico?

Segunda observación bajo la lupa: la respuesta corporativa combinó corrección técnica inmediata con una comunicación cuidadosamente delimitada: se reconoció la vulnerabilidad, se negó disponer de evidencia de filtración y se reforzaron los controles.

TERCER EPISODIO: CLARO REPÚBLICA DOMINICANA, SEPTIEMBRE DE 2026

Llegamos así al episodio que origina este análisis. En septiembre de 2026 comenzaron a circular alegaciones sobre una posible exfiltración de información atribuida a Claro República Dominicana. A diferencia del Ransomware centroamericano de 2024 y de la vulnerabilidad reconocida por Telcel en 2026, la existencia y el alcance de una brecha en República Dominicana no deben darse por probados mientras no exista confirmación técnica u oficial suficiente.

Por eso, el número de registros que pueda circular públicamente es secundario en esta etapa. La pregunta fundamental es anterior: ¿hubo realmente acceso no autorizado o exfiltración de datos de los sistemas de Claro República Dominicana? Y, si la respuesta fuera afirmativa, ¿cuándo lo detectó la compañía, cuándo lo notificó a las autoridades y cuándo informó a los clientes potencialmente afectados?

El antecedente regional nos obliga a observar no solo la respuesta técnica, sino también la secuencia de comunicación. En otras palabras, necesitamos reconstruir tres tiempos: el momento del posible incidente, el momento de su detección por la compañía y el momento en que las autoridades y los usuarios fueron informados.

EL PATRÓN QUE DEBEMOS COMPROBAR

Los tres episodios no permiten, por sí solos, afirmar que exista una vulnerabilidad tecnológica común ni una política deliberada de ocultamiento dentro de América Móvil. Sí permiten formular una hipótesis de trabajo legítima sobre su comportamiento corporativo frente al riesgo: detectar y contener primero, preservar la continuidad operacional, investigar internamente y limitar la comunicación pública a aquello que la organización considera confirmado.

Esa prudencia puede ser técnicamente razonable. Pero en una empresa de telecomunicaciones existe una segunda obligación que merece igual atención: la confianza del abonado. Cuando los datos personales o las plataformas que los procesan pueden estar comprometidos, el tiempo de la investigación corporativa y el tiempo del cliente no necesariamente son el mismo.

¿Dónde termina la prudencia corporativa y dónde comienza el derecho del abonado a ser informado?

Esa será la pregunta central de nuestra lupa. El próximo paso es examinar el marco dominicano: qué exige INDOTEL a una prestadora cuando detecta un incidente severo o cuando los datos de sus clientes se encuentran en riesgo, qué debe notificarse, en qué plazo y cuál es el papel del regulador frente al público.

FUENTES DE REFERENCIA

• SUTEL, 2 de febrero de 2024: confirmación del ransomware y solicitud formal de detalles a Claro.
• SUTEL, 15 de febrero de 2024: normalización de plataformas y descripción de los sistemas afectados.
• Bloomberg Línea, 2 de febrero de 2024: comunicado regional de Claro sobre el ransomware.
• Bloomberg Línea, 16 de abril de 2024: impacto comercial reportado por América Móvil tras el ataque.
• WIRED en Español, 12 de enero de 2026: reconocimiento de vulnerabilidad técnica en el portal de Telcel.