Madison Square Garden se encuentra en el centro de una demanda colectiva en Nueva York tras una presunta filtración que habría expuesto datos personales y biométricos de hasta 26 millones de personas. Este caso ha intensificado el debate sobre el uso de reconocimiento facial en recintos deportivos y la capacidad de estas empresas para resguardar información sensible.
El alcance del problema coincide con una alerta generalizada en el sector. Un informe reciente de Darktrace, firma especializada en ciberseguridad, señala que la industria deportiva se ha convertido en uno de los blancos principales de ataques informáticos. Según el estudio, basado en una encuesta a profesionales de seguridad tecnológica de organizaciones deportivas en Estados Unidos, Reino Unido, Australia y Alemania, el 84% afirmó haber sufrido al menos un incidente cibernético en el último año.
De acuerdo con The New York Times, la demanda fue presentada esta semana ante un tribunal federal de Nueva York contra Madison Square Garden Entertainment, empresa propietaria del recinto. La acción legal se produjo después de que el grupo de ciberdelincuentes ShinyHunters afirmara haber accedido a sistemas internos de la compañía y obtenido más de 42 gigabytes de información.
La demanda sostiene que entre los datos presuntamente sustraídos se incluyen registros obtenidos mediante sistemas de reconocimiento facial utilizados en el estadio desde 2018. También se mencionan números de Seguro Social, historiales de verificación de antecedentes, calificaciones crediticias y otros archivos personales de visitantes.
Según el sitio especializado Biometric Update, ShinyHunters afirmó haber extraído información equivalente a 45 gigabytes, vinculada a 26 millones de visitas a los recintos de la compañía. El demandante principal es Carlos Avalo, quien aseguró que sus datos pudieron haber sido recopilados cuando asistió a un concierto en septiembre de 2025. Aunque la empresa aún no lo ha notificado oficialmente, Avalo dijo tener motivos para creer que su información formaba parte de los archivos comprometidos, y expresó su temor a un posible uso indebido.
Hay cinco demandas federales abiertas por la misma presunta intrusión
La presentación de Avalo no es un caso aislado. Desde que se conoció la supuesta intrusión, se han registrado otras cuatro demandas colectivas similares, sumando un total de cinco procesos vinculados al mismo incidente. Algunos de estos también incluyen como demandada a Madison Square Garden Sports.
El núcleo del caso es que los demandantes sostienen que la empresa reunió y almacenó datos, incluida información biométrica, sin adoptar medidas suficientes para protegerlos. También critican que la respuesta de la compañía, después de que trascendió el presunto ataque, fue insuficiente.
De acuerdo con Biometric Update, la demanda se presentó como Avalo v. MSG Entertainment y apunta a una presunta falta de resguardo de los servidores que almacenaban la información. El mismo medio indica que entre los materiales mencionados en los informes del caso figuran registros de seguimiento biométrico, información vinculada a verificaciones de antecedentes y datos de evaluaciones de amenazas en internet.
Los abogados del caso remarcan que la compañía mantuvo estas prácticas a pesar de contar con antecedentes de incidentes de ciberseguridad. La demanda busca indemnizaciones por daños reales y compensatorios, restitución económica, intereses y honorarios legales para una clase potencialmente compuesta por millones de personas.
Darktrace describe un escenario en el que las organizaciones deportivas enfrentan más ataques, con impactos que van más allá de la interrupción de eventos. Según el reporte, el riesgo se extiende a sistemas de operación y a plataformas digitales asociadas a la experiencia de los asistentes. Los demandantes citan este punto para reforzar la idea de que el sector debe extremar medidas de protección al manejar datos.
El uso de reconocimiento facial ya había generado críticas públicas
La querella recupera una controversia previa sobre la política tecnológica del recinto. En 2023, el uso de reconocimiento facial en el Madison Square Garden fue cuestionado por defensores de la privacidad y por autoridades estatales, incluida la fiscal general de Nueva York, Letitia James.
Según un comunicado de la oficina de James, la fiscal envió una carta a Madison Square Garden Entertainment solicitando información sobre el uso de reconocimiento facial. El documento advirtió que la política de negar el ingreso a personas con entradas válidas podría implicar tensiones con las normas de derechos civiles y derechos humanos del estado.
Las críticas se intensificaron después de que la empresa utilizara ese sistema para identificar y expulsar de eventos a abogados vinculados con estudios jurídicos que mantenían litigios activos contra la compañía. Este antecedente aparece ahora como parte del contexto de una causa que pone el foco no solo en la filtración, sino también en el volumen y la naturaleza de la información recopilada.
Entre los ejemplos de datos que circulan en internet, citados en la demanda, aparecen evaluaciones internas de riesgo sobre celebridades y asistentes frecuentes. El documento menciona que el actor Ben Stiller, reconocido aficionado de los Knicks, figuraba como de “bajo riesgo”, mientras que el rapero A Boogie wit da Hoodie aparecía catalogado como de “alto riesgo”.
Según The New York Times, los demandantes reclaman una compensación mínima de USD 5.000.000, aunque el monto final podría ser mucho mayor. El diario indica que, mientras avanzan las causas, el presunto hackeo amenaza con convertirse en uno de los mayores episodios de exposición de datos asociados a una instalación deportiva en Estados Unidos, en un contexto donde el reconocimiento facial ya es objeto de cuestionamientos públicos y regulatorios.
De acuerdo con la organización Fight for the Future, varios medios informaron que parte del material atribuido al ataque incluyó archivos internos vinculados con el sistema de reconocimiento facial y con el seguimiento de críticos de esa política. Este señalamiento se suma a la discusión sobre el alcance de los datos que una empresa privada puede reunir sobre los asistentes y sobre la capacidad de protegerlos una vez almacenados en sus sistemas.
Fuente: Infobae
