La AEPD multa a la Real Sociedad con 110.000 euros por un ciberataque que expuso datos de 60.000 personas
La Real Sociedad ha sido sancionada por la Agencia Española de Protección de Datos (AEPD) con una multa de 110.000 euros por el ciberataque sufrido en octubre de 2023, que expuso información personal de unas 60.000 personas vinculadas al club. Así lo ha adelantado elDiario.es, que recoge cómo la resolución de la AEPD considera que la Real Sociedad «carecía de las medidas de protección adecuadas al riesgo», lo que agravó el impacto del incidente.
Un ataque de amplio alcance
Tal como recuerda, el ciberataque se detectó el 16 de octubre de 2023, cuando todos los servidores virtuales de la Real Sociedad fueron encriptados con la extensión «.akira», asociada a una de las bandas de ransomware más peligrosas y notorias de aquel momento y de la actualidad. El ataque inutilizó las copias de seguridad y comprometió datos que no estaban cifrados.
Como informamos en Escudo Digital, la propia entidad donostiarra admitió el incidente, explicando que se habían visto afectados diversos servidores que contenían datos identificativos y de contacto de sus abonados, accionistas y miembros de RS Fan y RS Laguna (dos grupos de seguidores del equipo).
Según indicó, entre los datos comprometidos figuraban nombres, apellidos, DNI, direcciones postales, teléfonos, correos electrónicos y, en el caso de los abonados, números de cuenta bancaria. El club recomendó a sus socios «tener cautela ante posibles comunicaciones electrónicas sospechosas», aunque subrayó que no existía riesgo de pérdidas financieras, ya que los números de cuenta eran únicamente utilizados para el cobro de abonos. Además, aseguró haber activado «todas las medidas técnicas y organizativas necesarias» para contener el incidente, que notificó a las autoridades correspondientes, incluida la AEPD.
Contradicciones en la versión oficial
La investigación posterior de la AEPD revela un panorama distinto, según detalla elDiario.es, cuya lista de afectados no solo incluye a abonados, accionistas y miembros de RS Fan y RS Laguna, sino también a empleados, jugadores profesionales y no profesionales, técnicos, participantes en campus y eventos, así como personas que solicitaron segundas opiniones médicas.
De acuerdo con su información, inicialmente la Real Sociedad transmitió que los datos de abonados, accionistas y clientes no habían sido comprometidos, pero en sus comunicaciones posteriores con la AEPD reconoció que sí lo estaban. Ante las contradicciones en la información proporcionada, la Agencia determinó que no podía descartarse que el ciberataque hubiera afectado a la totalidad de los datos almacenados en los servidores.
El Registro de Actividades de Tratamiento constató que estos incluían datos de categoría especial, como información médica y psicológica de jugadores, discapacidades, alergias, riesgos laborales, imágenes, voz y certificados de delitos sexuales. También figuraban datos económicos, laborales, patrimoniales, credenciales de acceso, registros de navegación e información técnica y de rendimiento deportivo. Ninguno de estos datos estaba cifrado antes del ataque.
Aunque no se hallaron pruebas de que la información hubiera sido extraída o publicada en foros de ciberdelincuencia, la AEPD concluyó que la Real Sociedad vulneró el principio de integridad y confidencialidad de los datos, así como su obligación de garantizar la seguridad de la información. El organismo también consideró como factores agravantes la duración de la brecha –del 14 de octubre al 6 de noviembre de 2023–, la naturaleza y volumen de datos los afectados y el hecho de que la actividad del club implica un tratamiento intensivo de información personal.
«Además de la sanción económica, la resolución obliga al club a acreditar en un plazo de tres meses que ha implantado medidas de seguridad adecuadas al riesgo, conforme a lo recogido en el expediente sancionador. La decisión es firme en vía administrativa», concluye elDiario.es