AT&T pagará 177 millones de dólares para resolver las demandas por dos importantes brechas de datos de clientes reveladas en 2024, después de que un juez federal otorgara la aprobación final el 2 de octubre de 2026. El acuerdo cubre incidentes separados que expusieron detalles personales y registros de llamadas, creando riesgos de privacidad duraderos para millones de clientes actuales y anteriores.

El juez Sidney A. Fitzwater del Tribunal de Distrito de los EE. UU. para el Distrito Norte de Texas aprobó el acuerdo, según Bloomberg Law. AT&T llegó al acuerdo sin admitir responsabilidad ni irregularidades. El trato crea un fondo de 149 millones de dólares para el primer incidente y un fondo de 28 millones de dólares para el segundo, pagándose también los honorarios legales y los costes administrativos de dichos fondos.

Dos brechas expusieron diferentes datos de clientes

El primer incidente se anunció el 30 de marzo de 2024, después de que la información de los clientes apareciera en la dark web. La evaluación inicial de AT&T identificó aproximadamente a 7,6 millones de titulares de cuentas actuales y 65,4 millones de antiguos titulares, sumando un total de 73 millones. La empresa afirmó que los registros parecían datar de 2019 o antes.

La información expuesta variaba según la persona y podía incluir nombres, direcciones, correos electrónicos, números de teléfono, fechas de nacimiento, códigos de acceso a la cuenta, números de cuenta de facturación y números de Seguro Social. AT&T afirmó inicialmente que no tenía pruebas de que el conjunto de datos fuera resultado de un acceso no autorizado a sus sistemas y que aún estaba investigando si la información provenía de la empresa o de un proveedor.

La segunda brecha, anunciada el 12 de julio de 2024, implicó registros robados de un espacio de trabajo de AT&T en la plataforma en la nube de Snowflake. Tal como se cubrió anteriormente en el informe sobre la brecha de registros de llamadas de AT&T, los atacantes accedieron al espacio de trabajo entre el 14 y el 25 de abril de 2024. El incidente afectó a casi todos los clientes de telefonía móvil de AT&T.

Esos registros cubrían llamadas y mensajes de texto desde mayo hasta octubre de 2022, además de algunos registros del 2 de enero de 2023. Incluían números de teléfono, recuentos de interacciones, duraciones totales de llamadas y algunos identificadores de torres de telefonía. A diferencia del primer incidente, esta brecha no expuso números de Seguro Social ni el contenido real de las llamadas y mensajes.

La distinción es importante porque los registros de comunicación pueden revelar relaciones incluso sin el contenido del mensaje. AT&T reconoció que las herramientas públicas en línea podrían conectar números de teléfono con nombres. También se informó previamente que AT&T pagó aproximadamente 370.000 dólares para que se eliminaran los registros robados, aunque podrían quedar fragmentos en otros lugares.

Bajo los términos oficiales del acuerdo, los demandantes elegibles del primer incidente pueden recibir hasta 5.000 dólares por pérdidas documentadas vinculadas a esa brecha. Los afectados por la segunda pueden recibir hasta 2.500 dólares. Los clientes afectados por ambas pueden calificar para ambos pagos, pero deben proporcionar pruebas separadas y no pueden reclamar la misma pérdida dos veces.

Estos montos máximos no son pagos automáticos. Se espera que los pagos estándar en efectivo sean mucho menores, con estimaciones reportadas que oscilan entre 6,50 y 40 dólares dependiendo del nivel de pago. Los demandantes cuyos números de Seguro Social fueron expuestos califican para un nivel más alto que aquellos cuyos otros detalles fueron filtrados.

La fecha límite para las reclamaciones terminó el 18 de diciembre de 2025, por lo que no puedes enviar nuevas reclamaciones a través del proceso cerrado. Los pagos dependen de la revisión de la reclamación y del proceso de apelación, sin que se haya informado de una fecha de distribución confirmada. Debes seguir las actualizaciones oficiales, monitorear tus cuentas y mantenerte alerta ante mensajes de phishing que exploten la información filtrada.