Filtración de datos de juguetes con IA: el peluche y 50,000 chats

No hizo falta hackear nada. Esa frase del reporte sobre una filtración de datos de juguetes con IA debería detener a cualquier papá que tenga un juguete que habla.

A principios de 2026, unos investigadores de seguridad descubrieron que Bondu, una empresa que vende un peluche con IA, tenía una consola web donde cualquiera podía entrar con cualquier cuenta de Gmail y leer las conversaciones de los niños con el juguete. Quedaron expuestos unos 50,000 chats, con nombres, fechas de nacimiento, detalles de la familia y conversaciones íntimas, según el reporte de Malwarebytes del 3 de febrero de 2026. Bondu lo cerró a los pocos minutos de que le avisaron. Pero este caso vale la pena entenderlo a detalle, porque el diseño que la hizo posible es común en los juguetes conectados a la nube.

Puntos clave

• La consola de Bondu dejaba entrar a cualquiera con una cuenta de Gmail cualquiera y leer las transcripciones guardadas. Se veían unas 50,000 conversaciones, prácticamente de todos los niños que usaban el juguete.
• La falla fue de autorización: el sistema revisaba la identidad (una cuenta de Google válida) pero no el permiso (¿esta persona es papá de este niño o es del personal?).
• Una semana después, dos senadores de Estados Unidos dijeron que Miko había dejado en una base de datos sin protección lo que parecían ser todas las respuestas de audio de su juguete, algunas con nombres de niños. El director de Miko dijo que “no hubo ninguna brecha ni filtración de datos de usuarios”.
• Las pruebas de Common Sense Media de 2026 encontraron que los juguetes con IA recopilan grabaciones de voz, transcripciones y datos de comportamiento, y que incluso con la máxima privacidad siguen necesitando recopilar mucho.
• Antes de comprar, haz cuatro preguntas: qué guarda, dónde, por cuánto tiempo y quién lo puede ver.

Filtración de datos de juguetes con IA: qué pasó con Bondu

Bondu anuncia su juguete como un peluche suave “impulsado por IA que puede platicar, enseñar y jugar con tu hijo”. Como otros juguetes con IA, graba lo que dice el niño, lo manda a los servidores de la empresa, genera una respuesta con un chatbot y la reproduce. Las conversaciones se guardan para que el juguete “recuerde” al niño y para que los papás puedan revisarlas.

Según el reporte de Malwarebytes, firmado por Pieter Arntz, dos investigadores (cuyo relato publicó primero Wired) descubrieron que la consola web pública de Bondu aceptaba el inicio de sesión de cualquier cuenta de Gmail. Una vez adentro, podían leer las transcripciones. Lo único que no estaba disponible eran las conversaciones que los papás o el personal habían borrado a mano.

Bondu desconectó la consola a los pocos minutos del aviso y después la volvió a abrir con autenticación adecuada. Su director dijo que los arreglos se completaron en horas, que la empresa no encontró “ninguna evidencia” de otros accesos y que contrató a una firma de seguridad y agregó monitoreo. Son afirmaciones de la empresa. Que no haya “evidencia” de acceso no es lo mismo que demostrar que nadie entró, algo que muchas veces es imposible saber después.

Cómo guarda las conversaciones un juguete conectado a la nube, y dónde se rompió

Las pláticas de un juguete con IA pasan por varios lugares, y en cada uno los datos pueden quedarse.

1. El juguete. Un micrófono capta el audio cuando el juguete escucha. Algunos usan un botón que hay que apretar para hablar, otros una palabra de activación y otros escuchan todo el tiempo, según las pruebas de 2025 de U.S. PIRG.
2. La nube de la empresa. El audio viaja por wifi a servidores donde el reconocimiento de voz lo convierte en texto. Ese texto va a un modelo de lenguaje, que escribe una respuesta. La síntesis de voz convierte la respuesta en audio.
3. El almacenamiento. Las transcripciones, y a veces el audio, se guardan en una base de datos. Eso permite que el juguete “se acuerde” del color favorito de tu hijo y que la empresa mejore su producto.
4. La consola. Un sitio web o una app deja que los papás (y el personal de la empresa) vean esas conversaciones guardadas.

La falla de Bondu ocurrió en el paso 4. En términos de ingeniería, cualquier sistema seguro debe hacerse dos preguntas distintas:

• Autenticación: ¿eres quien dices ser? Un inicio de sesión de Google responde eso.
• Autorización: sabiendo quién eres, ¿tienes permiso para ver este registro? Solo los del juguete, y solo los de tu hijo.

La consola de Bondu, según los reportes, hacía lo primero y se saltaba lo segundo. Imagina un edificio cuyo vigilante revisa que traigas una credencial del INE válida y luego te da las llaves de todos los departamentos. La identificación es real. El acceso está mal.

El caso Miko: otro hueco, la misma lección

El 12 de febrero de 2026, NBC News informó que los senadores Marsha Blackburn y Richard Blumenthal le escribieron a Miko para decirle que la empresa había dejado lo que parecían ser todas las respuestas de audio de su juguete en una base de datos sin protección y de acceso público. El personal del Senado la encontró con herramientas gratuitas, examinando el tráfico wifi del juguete. NBC encontró archivos desde diciembre de 2025, ordenados por fecha, algunos que se podían vincular a un niño con nombre durante varios minutos, pero ninguna grabación de la voz de los niños. El índice tenía carpetas llamadas “GOOGLE” y “AZURE”, los nombres de dos grandes proveedores de nube.

El fundador y director de Miko, Sneh Vaswani, dijo que “no hubo ninguna brecha ni filtración de datos de usuarios” y que “Miko no guarda grabaciones de la voz de los niños”. La base de datos dejó de ser pública después de que los senadores contactaron a la empresa.

Fíjate en lo que se filtró: solo el lado del juguete en la conversación. Aun así revelaba nombres, horarios y de qué habían hablado los niños. Las respuestas de un juguete son un espejo de las palabras de tu hijo.

No es solo un problema de empresas chicas

En mayo de 2023, la Comisión Federal de Comercio (FTC) y el Departamento de Justicia de Estados Unidos acusaron a Amazon de violar la ley de privacidad infantil por guardar indefinidamente las grabaciones de voz de niños en Alexa, salvo que los papás pidieran borrarlas, y por no eliminar del todo las transcripciones cuando lo pedían. Amazon aceptó pagar una multa civil de 25 millones de dólares, según la FTC. Guardar datos es un riesgo, sin importar el tamaño de la empresa.

Cómo enseñarle a tu hijo sobre los datos de los juguetes con IA

De 5 a 8 años: la caja de zapatos “servidor”

Toma una caja de zapatos y ponle “Empresa de juguetes”. Cada vez que tu hijo le cuente algo a un peluche, escríbelo en un papelito y échalo a la caja. Después de cinco papelitos, pregúntale: “¿Quién puede abrir esta caja?”. Luego ponle un candado (una liga) y una llave (un clip) y decidan juntos quién recibe llave. La idea: lo que le cuentas a un juguete que habla va a dar a una caja en otro lugar, y la pregunta importante es quién tiene la llave.

De 9 a 12 años: el cadenero y la lista de invitados

Armen una fiesta de mentiras en la puerta de la cocina. Una persona es el cadenero que pide identificación (“Enséñame tu credencial de la biblioteca”). Otra tiene la lista de invitados. Háganlo dos veces: una solo con el cadenero, y entra cualquiera con credencial; otra con los dos, y necesitas credencial y estar en la lista. Luego explícale que la consola de Bondu tenía cadenero pero no lista. Pídele que diga con sus palabras la diferencia entre demostrar quién eres y tener permiso para entrar.

De 13 en adelante: dibuja el viaje de los datos de un aparato

Elijan cualquier aparato conectado de la casa: una bocina inteligente, una consola de videojuegos, un juguete. Que tu adolescente dibuje el camino de una frase dicha en voz alta, del micrófono a la nube y de regreso, marcando cada lugar donde podría guardarse. Luego busquen la política de privacidad del aparato y respondan cuatro preguntas: ¿qué recopila?, ¿cuánto tiempo lo guarda?, ¿quién más lo recibe?, ¿cómo se borra? La mayoría va a encontrar al menos una pregunta que la política no contesta con claridad. Ese hueco es el hallazgo.

La pregunta que debes hacer: “Si una empresa de juguetes revisa que tengas un correo real, ¿por qué eso no basta para que los extraños no lean tus conversaciones?”

A dónde van los datos de un juguete que habla y qué puede fallar

Etapa	Qué hay ahí	Quién suele poder verlo	Falla real
Micrófono del juguete	La voz de tu hijo, a veces la plática de fondo	Nadie, hasta que se envía	Juguetes que escuchan todo el tiempo captan pláticas familiares (Common Sense, PIRG)
Tráfico de red	Audio y datos en camino	Cualquiera que examine el tráfico, si no está protegido	El personal del Senado encontró los archivos de Miko revisando el tráfico wifi
Procesamiento en la nube	Voz a texto, chatbot, texto a voz	La empresa y sus proveedores de nube	Archivos de Miko en carpetas con nombre de Google y Azure
Base de datos	Transcripciones, audio, perfil (nombre, cumpleaños)	El personal de la empresa	Amazon guardaba indefinidamente grabaciones de niños en Alexa (FTC, 2023)
Consola de papás y personal	Historial de conversaciones legible	Debería ser: el papá y el personal autorizado	Bondu: cualquiera con cualquier cuenta de Gmail

Qué hacer antes (y después) de comprar un juguete que habla

Haz las cuatro preguntas de almacenamiento

¿Qué guarda (audio, transcripciones o ambos)? ¿Dónde (qué empresa, qué país)? ¿Por cuánto tiempo? ¿Quién lo puede ver? Si la caja, el sitio web y la política de privacidad no contestan las cuatro con claridad, esa ya es la respuesta.

Prefiere juguetes que guardan menos

Apretar un botón para hablar es mejor que una palabra de activación, y la palabra de activación es mejor que escuchar todo el tiempo. Un juguete que no guarda transcripciones no las puede filtrar. Common Sense encontró que incluso con la máxima privacidad, los juguetes con IA necesitan recopilar bastante para funcionar. Aquí tienes más sobre qué datos recopilan los juguetes inteligentes.

Borra con regularidad

Si el juguete tiene una app para papás con historial de conversaciones, bórralo seguido. Lo único que quedó fuera de la filtración de Bondu fueron las conversaciones borradas a mano. Fue el único control que funcionó.

Conoce tus derechos

En Estados Unidos, la ley COPPA da a los papás derechos sobre los datos de menores de 13 años. En nuestra guía sobre lo que las empresas les deben a los niños según COPPA explicamos cómo pedir que borren datos. Es una ley de Estados Unidos; en América Latina aplican las leyes de cada país, que te contamos abajo.

Lo que no conviene hacer

No intentes “probar” la consola de un juguete husmeando otras cuentas. Entrar a datos que no tienes permiso de ver puede ser un delito aunque el sistema te deje. Si encuentras un hueco, repórtalo a la empresa y, si es grave, a la autoridad de protección de datos.

¿Y en América Latina?

No sabemos si Bondu o Miko se venden oficialmente en la región; los casos ocurrieron en Estados Unidos. Pero cualquier juguete conectado que se use aquí cae bajo las leyes locales de datos personales, y algunas son muy estrictas con los menores.

En Colombia, el artículo 7 de la Ley 1581 de 2012 establece que “queda proscrito el tratamiento de datos personales de niños, niñas y adolescentes, salvo aquellos datos que sean de naturaleza pública”, y obliga al tratamiento a respetar “los derechos prevalentes” de los menores. Un juguete que guarda el nombre, el cumpleaños y las pláticas de un niño colombiano está tratando exactamente ese tipo de datos.

En Brasil, el ECA Digital, vigente desde marzo de 2026, prohíbe la explotación comercial de los datos de niños y adolescentes, con multas de hasta 50 millones de reales o el 10% de la facturación, según Tecnoblog.

Y si tu familia comparte todo por WhatsApp, ojo con reenviar capturas de las conversaciones del juguete: también son datos de tu hijo.

Qué observar en los próximos 3 meses

• Semana 4: Abre la app del juguete y mira qué tiene guardado sobre tu hijo. ¿Hay historial de transcripciones? ¿Un perfil con su cumpleaños? Borra lo que no quieras que se quede.
• Señales de alerta en el mes 2: la empresa cambia su política de privacidad, agrega envío de datos a terceros o recibes un aviso de brecha. Cualquiera de estas es razón para dejar de usar las funciones en la nube.
• Autoevaluación del mes 3: ¿Podrías contestar las cuatro preguntas de almacenamiento para cada juguete o bocina conectada de tu casa? Si no, empieza por el que más usa tu hijo más chico.

Preguntas frecuentes

¿Qué expuso la filtración del juguete con IA de Bondu?

Unas 50,000 transcripciones de conversaciones entre niños y el juguete, con nombres, fechas de nacimiento, detalles de la familia y pláticas íntimas, según Malwarebytes. Cualquiera con una cuenta de Gmail podía entrar y leerlas. Bondu desconectó la consola a los pocos minutos del aviso.

¿Se filtraron grabaciones de la voz de los niños?

En el caso de Bondu, los reportes hablan de transcripciones de texto. En el de Miko, NBC News encontró las respuestas en audio del juguete, pero ninguna grabación de la voz de los niños. Aun así, las dos revelaban datos personales, porque las respuestas de un juguete suelen repetir lo que el niño dijo.

¿Cómo sé si el juguete con IA de mi hijo es seguro?

Ningún juguete está libre de riesgo. Busca que haya que apretar un botón para hablar en lugar de escucha permanente, que diga claramente qué guarda y por cuánto tiempo, que permita borrar el historial y que no comparta datos con terceros. Common Sense Media no recomienda ningún juguete con IA para niños de 5 años o menos.

¿Puedo borrar lo que grabó un juguete con IA?

Normalmente desde la app para papás o escribiéndole a la empresa. En Estados Unidos, COPPA da a los papás el derecho de pedir que se borren los datos de menores de 13 años; en tu país, revisa la ley local de datos personales. El caso de la FTC contra Amazon en 2023 muestra que una empresa puede ser sancionada por no cumplir esas solicitudes.

¿Debo deshacerme del juguete con IA de mi hijo?

No necesariamente, pero apaga las funciones en la nube que no necesites, borra las conversaciones guardadas y platica con tu hijo sobre lo que le cuenta. Si la empresa no puede explicar a dónde van los datos, desactivar la IA del juguete es una decisión razonable.

---

Sobre el autor

Ricky Flores es el fundador de HiWave Makers e ingeniero eléctrico con más de 15 años de experiencia desarrollando tecnología de consumo en Apple, Samsung y Texas Instruments. Escribe sobre cómo los niños aprenden a construir, pensar y crear en un mundo saturado de tecnología. Lee más en hiwavemakers.com.

---

Fuentes

1. Arntz, P. (3 de febrero de 2026). “An AI plush toy exposed thousands of private chats with children.” Malwarebytes. https://www.malwarebytes.com/blog/news/2026/02/an-ai-plush-toy-exposed-thousands-of-private-chats-with-children
2. Perlo, J., y Collier, K. (12 de febrero de 2026). “AI toy maker exposed thousands of responses to children, senators say.” NBC News. https://www.nbcnews.com/tech/security/ai-toy-maker-exposed-thousands-responses-kids-senators-miko-rcna258326
3. Federal Trade Commission. (31 de mayo de 2023). “FTC and DOJ Charge Amazon with Violating Children’s Privacy Law by Keeping Kids’ Alexa Voice Recordings Forever.” https://www.ftc.gov/news-events/news/press-releases/2023/05/ftc-doj-charge-amazon-violating-childrens-privacy-law-keeping-kids-alexa-voice-recordings-forever
4. Common Sense Media. (22 de enero de 2026). “AI Toys Risk Assessment.” https://institute.commonsensemedia.org/risk-assessments/ai-toys
5. U.S. PIRG Education Fund. (2025). “AI comes to playtime: Artificial companions, real risks.” https://pirg.org/edfund/resources/ai-toys/
6. Congreso de Colombia. Ley Estatutaria 1581 de 2012. https://www.funcionpublica.gov.co/eva/gestornormativo/norma.php?i=49981
7. Tecnoblog. (17 de marzo de 2026). “ECA Digital entra em vigor para proteger menores na internet; veja mudanças.” https://tecnoblog.net/noticias/eca-digital-entra-em-vigor-para-proteger-menores-na-internet-veja-mudancas/