{"id":2091,"date":"2026-09-30T19:37:14","date_gmt":"2026-09-30T19:37:14","guid":{"rendered":"https:\/\/cybercolombia.co\/?p=2091"},"modified":"2026-09-30T19:37:14","modified_gmt":"2026-09-30T19:37:14","slug":"la-aepd-multa-a-la-real-sociedad-con-110-000-euros-por-un-ciberataque-que-expuso-datos-de-60-000-personas","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/09\/30\/la-aepd-multa-a-la-real-sociedad-con-110-000-euros-por-un-ciberataque-que-expuso-datos-de-60-000-personas\/","title":{"rendered":"La AEPD multa a la Real Sociedad con 110.000 euros por un ciberataque que expuso datos de 60.000 personas"},"content":{"rendered":"\n

La Real Sociedad ha sido sancionada por\u00a0la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos\u00a0(AEPD) con una multa\u00a0de 110.000 euros por el ciberataque sufrido en octubre de 2023, que expuso informaci\u00f3n personal de unas 60.000 personas vinculadas al club.<\/strong> As\u00ed lo ha adelantado elDiario.es<\/a><\/em>, que recoge c\u00f3mo la resoluci\u00f3n de la AEPD considera que la Real Sociedad \u00abcarec\u00eda de las medidas de protecci\u00f3n adecuadas al riesgo\u00bb, lo que agrav\u00f3 el impacto del incidente.
<\/a><\/p>\n\n\n\n

Un ataque de amplio alcance<\/h2>\n\n\n\n

Tal como recuerda, el ciberataque se detect\u00f3 el 16 de octubre de 2023, cuando todos los servidores virtuales de la Real Sociedad fueron encriptados con la extensi\u00f3n \u00ab.akira\u00bb, asociada a una de las bandas de ransomware m\u00e1s peligrosas y notorias de aquel momento y de la actualidad<\/a>. El ataque inutiliz\u00f3 las copias de seguridad y comprometi\u00f3 datos que no estaban cifrados.<\/p>\n\n\n\n

Como informamos en Escudo Digital<\/em><\/a>, la propia entidad donostiarra admiti\u00f3 el incidente<\/strong>, explicando que se hab\u00edan visto afectados diversos servidores que conten\u00edan datos identificativos y de contacto de sus abonados, accionistas y miembros de RS Fan y RS Laguna (dos grupos de seguidores del equipo).<\/p>\n\n\n\n

Seg\u00fan indic\u00f3, entre los datos comprometidos figuraban nombres, apellidos, DNI, direcciones postales, tel\u00e9fonos, correos electr\u00f3nicos y, en el caso de los abonados, n\u00fameros de cuenta bancaria.<\/strong> El club recomend\u00f3 a sus socios \u00abtener cautela ante posibles comunicaciones electr\u00f3nicas sospechosas\u00bb<\/em>, aunque subray\u00f3 que no exist\u00eda riesgo de p\u00e9rdidas financieras<\/strong>, ya que los n\u00fameros de cuenta eran \u00fanicamente utilizados para el cobro de abonos. Adem\u00e1s, asegur\u00f3 haber activado \u00abtodas las medidas t\u00e9cnicas y organizativas necesarias\u00bb<\/em> para contener el incidente, que notific\u00f3 a las autoridades correspondientes, incluida la AEPD.<\/p>\n\n\n\n

Contradicciones en la versi\u00f3n oficial<\/h2>\n\n\n\n

La investigaci\u00f3n posterior de la AEPD revela un panorama distinto, seg\u00fan detalla elDiario.es<\/em>, cuya lista de afectados no solo incluye a abonados, accionistas y miembros de RS Fan y RS Laguna, sino tambi\u00e9n a empleados, jugadores profesionales y no profesionales, t\u00e9cnicos, participantes en campus y eventos, as\u00ed como personas que solicitaron segundas opiniones m\u00e9dicas. <\/p>\n\n\n\n

De acuerdo con su informaci\u00f3n, inicialmente la Real Sociedad transmiti\u00f3 que los datos de abonados, accionistas y clientes no hab\u00edan sido comprometidos, pero en sus comunicaciones posteriores con la AEPD reconoci\u00f3 que s\u00ed lo estaban.<\/strong> Ante las contradicciones en la informaci\u00f3n proporcionada, la Agencia determin\u00f3 que no pod\u00eda descartarse que el ciberataque hubiera afectado a la totalidad de los datos almacenados en los servidores.<\/p>\n\n\n\n

El Registro de Actividades de Tratamiento constat\u00f3 que estos inclu\u00edan datos de categor\u00eda especial, como informaci\u00f3n m\u00e9dica y psicol\u00f3gica de jugadores, discapacidades, alergias, riesgos laborales, im\u00e1genes, voz y certificados de delitos sexuales. Tambi\u00e9n figuraban datos econ\u00f3micos, laborales, patrimoniales, credenciales de acceso, registros de navegaci\u00f3n e informaci\u00f3n t\u00e9cnica y de rendimiento deportivo. Ninguno de estos datos estaba cifrado antes del ataque.<\/strong><\/p>\n\n\n\n

Aunque no se hallaron pruebas de que la informaci\u00f3n hubiera sido extra\u00edda o publicada en foros de ciberdelincuencia, la AEPD concluy\u00f3 que la Real Sociedad vulner\u00f3 el principio de integridad y confidencialidad de los datos<\/strong>, as\u00ed como su obligaci\u00f3n de garantizar la seguridad de la informaci\u00f3n. El organismo tambi\u00e9n consider\u00f3 como factores agravantes<\/strong> la duraci\u00f3n de la brecha \u2013del 14 de octubre al 6 de noviembre de 2023\u2013, la naturaleza y volumen de datos los afectados y el hecho de que la actividad del club implica un tratamiento intensivo de informaci\u00f3n personal.<\/p>\n\n\n\n

\u00abAdem\u00e1s de la sanci\u00f3n econ\u00f3mica, la resoluci\u00f3n obliga al club a acreditar en un plazo de tres meses que ha implantado medidas de seguridad adecuadas al riesgo<\/strong>, conforme a lo recogido en el expediente sancionador. La decisi\u00f3n es firme en v\u00eda administrativa\u00bb,<\/em> concluye elDiario.es<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

La Real Sociedad ha sido sancionada por\u00a0la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos\u00a0(AEPD) con una multa\u00a0de 110.000 euros por el ciberataque sufrido en octubre de 2023, que expuso informaci\u00f3n personal de unas 60.000 personas vinculadas al club. As\u00ed lo ha adelantado elDiario.es, que recoge c\u00f3mo la resoluci\u00f3n de la AEPD considera que la Real Sociedad […]<\/p>\n","protected":false},"author":1,"featured_media":2092,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2091","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/2091","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=2091"}],"version-history":[{"count":1,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/2091\/revisions"}],"predecessor-version":[{"id":2093,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/2091\/revisions\/2093"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/2092"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=2091"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=2091"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=2091"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}