El 21 de octubre, la empresa detectó consultas digitales no aprobadas. De acuerdo con la postura oficial entregada a Expok, fueron extraídos correos electrónicos y números de teléfono celular. Xcaret afirma que no se comprometieron cuentas bancarias, tarjetas de pago ni otros datos financieros.
La diferencia es relevante, pero no elimina el riesgo. El propio comunicado reconoce que la información obtenida podría utilizarse para enviar correos o mensajes de texto con intentos de cobro de reservaciones a nombre de Xcaret. El incidente alcanzó así uno de los activos centrales del negocio turístico: la confianza con la que una persona reserva, paga y se relaciona con la marca antes de llegar al parque.
Qué ocurrió y cómo respondió Xcaret
Grupo Xcaret describió el hecho como una extracción realizada mediante “mecanismos de comunicación no autorizados” vinculados con los sistemas de venta de sus parques. La empresa no explicó públicamente el mecanismo utilizado ni la forma en que identificó las consultas.
Consultado por Expok, Grupo Xcaret señaló que actuó inmediatamente después de detectar la actividad no aprobada. Explicó que los clientes fueron contactados tan pronto como se determinó el número de personas involucradas y que la postura pública fue difundida después de efectuar esas notificaciones.
La empresa también afirmó que actuó totalmente apegada a la legislación vigente. En la información proporcionada no se precisó qué autoridad fue notificada ni qué procedimiento específico se siguió.
La compañía sostuvo que los aproximadamente 8,300 registros representan menos del 0.003% del total procesado durante 2026. El comunicado no identifica el universo utilizado como denominador, por lo que ese porcentaje no puede corroborarse de manera independiente con la información disponible.
La postura de Xcaret cumple una función inmediata: advertir a los consumidores sobre posibles intentos de fraude. La empresa pidió ignorar solicitudes de pago recibidas mediante llamadas telefónicas, mensajes de texto o correos enviados desde direcciones distintas a sus canales reconocidos.
Una alerta para los clientes
También aclaró que nunca envía ligas de cobro mediante mensajes de texto y señaló como cuentas oficiales para reservaciones y cotizaciones de sus parques las siguientes:
Ante cualquier comunicación sospechosa, lo más seguro es no abrir enlaces ni proporcionar información y verificar la solicitud entrando directamente al sitio oficial de Xcaret. Una dirección de correo visible tampoco debe considerarse, por sí sola, una garantía de autenticidad.
El aviso de privacidad publicado por Xcaret identifica al Departamento de Protección de la Información como responsable de velar por la seguridad de los datos. También señala el correo [email protected] para ejercer derechos relacionados con la información personal.
El comunicado detalla la reacción inicial, pero no identifica qué instancia interna encabezó la respuesta, si hubo afectaciones concretas para los clientes ni qué medidas se adoptaron para prevenir otra extracción.
La privacidad también forma parte de la experiencia
Una visita a Xcaret no comienza en la entrada del parque. Empieza cuando una persona consulta precios, entrega sus datos, reserva y paga. Por eso, la protección de la información no es un asunto separado de la experiencia: forma parte de la promesa que la marca hace al cliente.
Los incidentes de datos suelen presentarse como problemas tecnológicos. Desde la responsabilidad social y ESG, tienen también una dimensión social y de gobernanza. La información pertenece a personas; su uso indebido puede ocasionar intentos de fraude, pérdida de confianza, tiempo y costos para los afectados. La gobernanza determina quién decide, quién supervisa la respuesta y cómo se rinden cuentas.
El estándar GRI 418 sobre privacidad del cliente refleja esa lógica. Solicita informar las reclamaciones fundamentadas por violaciones a la privacidad y el número total de filtraciones, robos o pérdidas de datos identificados. También vincula el desempeño con la eficacia de los sistemas y procedimientos utilizados para proteger la información de los clientes.
El antecedente en la Xostenibilidad de Xcaret
En su Memoria de Xostenibilidad 2024, Grupo Xcaret reportó que durante ese año no identificó reclamaciones relativas a violaciones de la privacidad del cliente ni pérdidas de datos. También informó que atendió 24 solicitudes relacionadas con datos personales y derechos de acceso, rectificación, cancelación y oposición.
Ese informe es anterior al incidente de octubre de 2026, por lo que no existe una contradicción temporal. Sí ofrece un antecedente importante: la compañía ya había incorporado la privacidad del cliente a su rendición de cuentas mediante el indicador GRI 418.
Grupo Xcaret anunció la publicación de su Memoria de Xostenibilidad 2025. Al cierre de este contenido, Expok no había podido acceder al documento completo mediante el enlace público difundido. En cualquier caso, ese reporte también corresponde a un periodo anterior al incidente.
La prueba llegará con la información de 2026. Si Xcaret mantiene la privacidad dentro de sus indicadores, su siguiente reporte deberá explicar no sólo que ocurrió una extracción de datos, sino qué impacto produjo, cómo fue gobernada la respuesta y qué cambió en su gestión.
Responder rápido es el principio
Xcaret hizo tres cosas relevantes: delimitó el universo de registros, contactó a los clientes involucrados y difundió información para reducir el riesgo de fraude. Esas acciones deben reconocerse.
También queda una segunda parte de la respuesta. Saber que un incidente está bajo control no explica todavía qué lo permitió, qué consecuencias tuvo ni qué medidas impedirán que vuelva a ocurrir. Contener protege el presente; aprender y rendir cuentas protege la relación futura con el cliente.
La extracción no autorizada no es únicamente un problema del sistema de ventas. Es una prueba para la confianza, la gobernanza y la capacidad de una marca de hacerse responsable de toda la experiencia que ofrece, incluso antes de que el visitante cruce la entrada del parque.
Fuentes consultadas
1. Grupo Xcaret. Grupo Xcaret Informa. Postura oficial del 24 de octubre de 2026, entregada a Expok.
2. Respuestas de Grupo Xcaret a Expok, 29 de octubre de 2026.
3. Grupo Xcaret. Memoria de Xostenibilidad 2024, apartado Privacidad del cliente e índice GRI 418-1.
4. Parque Xcaret. Aviso de privacidad, consultado el 30 de octubre de 2026. https://www.xcaret.com/es/aviso-de-privacidad/
5. Global Reporting Initiative. GRI 418 Privacidad del cliente 2016. https://www.globalreporting.org/publications/documents/spanish/gri-418-privacidad-del-cliente-2016/
