La Agencia Española de Protección de Datos ha impuesto a Vodafone España dos multas que suman 900.000 euros por las deficiencias de seguridad relacionadas con dos ataques de ransomware sufridos durante noviembre de 2023.
Los expedientes analizan tres incidentes distintos ocurridos durante el mismo mes. En conjunto, las cifras comunicadas superan ampliamente los 800.000 registros de personas afectadas, aunque no puede garantizarse que correspondan a usuarios únicos porque podría existir algún solapamiento entre las bases de datos.
Las dos nuevas multas por ransomware se añaden a una sanción de 750.000 euros relacionada con una fuga sufrida por Plume, el proveedor que gestionaba el servicio Super WiFi de Vodafone. Esta última sanción ha sido pagada, pero continúa recurrida ante la Audiencia Nacional.
El primer ransomware afectó a 724.733 clientes
El primero de los ataques comenzó el 1 de noviembre de 2023 y afectó a una plataforma gestionada por un proveedor de Vodafone. La empresa encargada de mantener el sistema detectó y comunicó el incidente a la operadora el 2 de noviembre.
Vodafone notificó la brecha a la AEPD el 4 de noviembre y concretó posteriormente que los datos afectados correspondían a 724.733 clientes.
El atacante consiguió acceder a la plataforma y cifrar la información almacenada. Esto provocó una pérdida de disponibilidad y, según la AEPD, también una vulneración de la confidencialidad porque una persona no autorizada pudo acceder a los datos.
Los análisis realizados no encontraron pruebas de que la información fuera publicada en Internet. Tampoco se acreditó una difusión posterior de los datos comprometidos.
Una cuenta genérica protegida con una contraseña débil
El acceso inicial se produjo a través de una VPN corporativa alojada en un centro de datos de Vodafone situado en Barcelona.
El atacante utilizó una cuenta genérica creada para tareas de mantenimiento. Esta identidad estaba protegida mediante una contraseña débil y no tenía activada la autenticación multifactor.
La investigación de la AEPD determinó que la ausencia de esta protección no se limitaba a la cuenta comprometida, sino que afectaba de forma general a los accesos mediante la VPN.
La política incluida en el contrato con el proveedor contemplaba contraseñas con una longitud mínima de ocho caracteres, pero admitía excepciones y no establecía expresamente la obligación de utilizar autenticación multifactor.
La Agencia considera que estas condiciones no proporcionaban un nivel de seguridad adecuado para un acceso remoto a infraestructura corporativa con datos personales de cientos de miles de clientes.
Vodafone no pudo trasladar toda la responsabilidad al proveedor
Vodafone alegó que la cuenta había sido creada por la empresa encargada del mantenimiento sin cumplir sus instrucciones de seguridad.
Sin embargo, la AEPD señala que la VPN comprometida formaba parte de la infraestructura corporativa de Vodafone. La utilización de ese acceso por parte de un proveedor externo no modificaba la responsabilidad de la operadora como responsable del tratamiento.
La Agencia también concluyó que Vodafone no había demostrado haber supervisado suficientemente el cumplimiento de las medidas de seguridad establecidas en el contrato.
El procedimiento ha terminado con una multa de 500.000 euros por infringir el artículo 32 del Reglamento General de Protección de Datos, que obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo.
Un segundo ransomware afectó a 98.509 personas
El segundo incidente comenzó el 5 de noviembre y desarrolló su actividad principal entre los días 6 y 7. Vodafone recibió la notificación del proveedor el 8 de noviembre de 2023.
El ataque alcanzó a una empresa contratada para prestar servicios de televenta y venta digital asistida. Los sistemas contenían información de clientes y de personas que habían mostrado interés en contratar productos de Vodafone.
La cifra total de afectados fue de 98.509 personas:
- 11.412 clientes de Vodafone.
- 87.097 potenciales clientes o interesados.
El ransomware cifró un servidor de archivos y un servidor relacionado con las grabaciones de las llamadas comerciales. La disponibilidad del servicio permaneció afectada desde el 6 hasta el 23 de noviembre.
Las copias de seguridad permitieron restaurar la información, aunque los datos cifrados originalmente no pudieron recuperarse directamente.
El ataque volvió a comenzar mediante una VPN
El vector de entrada fue nuevamente una VPN corporativa. Los atacantes accedieron utilizando una cuenta sin privilegios, aunque la investigación no pudo determinar cómo habían conseguido comprometerla.
Una vez dentro de la infraestructura, lograron elevar sus privilegios, superar el sistema antivirus y desplegar el ransomware en los servidores.
El proveedor no disponía de autenticación de doble factor en todos los accesos mediante VPN. Esta protección fue implantada después del incidente.
La AEPD también identificó otras deficiencias. No todas las máquinas contaban con antivirus y algunos elementos críticos de la red, como los cortafuegos internos y los conmutadores, no estaban monitorizados adecuadamente.
Qué información quedó afectada
La mayoría de las personas incluidas en este segundo incidente, un total de 96.359, tenían afectados los siguientes datos:
- Nombre y apellidos.
- Número de teléfono móvil o MSISDN.
Para otras 2.150 personas, la información potencialmente afectada también incluía:
- DNI.
- Dirección postal.
- Correo electrónico.
- Teléfono.
- Número que se pretendía contratar.
- Cuenta bancaria.
Los registros del cortafuegos mostraron un intento de exfiltración hacia una dirección IP externa, pero la conexión habría sido bloqueada. No se encontraron evidencias de una extracción exitosa ni de la publicación o venta de los datos.
La AEPD admite, no obstante, que la información disponible tampoco permite descartar completamente que pudiera haberse producido una extracción mediante otro procedimiento.
La segunda sanción asciende a 400.000 euros
La Agencia ha dividido la multa del segundo ataque en dos infracciones:
- 300.000 euros por incumplir las obligaciones de seguridad del artículo 32 del RGPD.
- 100.000 euros por incumplir las obligaciones relacionadas con el encargado del tratamiento establecidas en el artículo 28.
La AEPD considera que Vodafone no actuó con suficiente diligencia para comprobar que su proveedor aplicaba medidas adecuadas a la sensibilidad y al volumen de la información tratada.
Una tercera fuga afectó a 60.000 usuarios de Super WiFi
Vodafone sufrió otro incidente el 23 de noviembre de 2023. En esta ocasión, la brecha se produjo en Plume, proveedor de la plataforma utilizada por el servicio Super WiFi.
La base de datos sustraída contenía información de aproximadamente 60.000 usuarios españoles. Los datos aparecieron posteriormente anunciados en un foro de ciberdelincuencia.
Vodafone comunicó a los afectados que la información incluía principalmente nombres, apellidos y direcciones de correo electrónico.
Este expediente derivó en una sanción de 750.000 euros. Vodafone pagó la multa, pero la recurrió ante la Audiencia Nacional porque considera que la responsabilidad corresponde al proveedor que sufrió directamente la fuga.
Las multas de los tres incidentes suman 1,65 millones
Las dos resoluciones relacionadas con el ransomware suman 900.000 euros. Si se añade la multa correspondiente a la plataforma Super WiFi, las sanciones vinculadas con los tres incidentes de noviembre de 2023 alcanzan los 1,65 millones de euros.
Los casos también muestran que contratar a un proveedor no elimina la responsabilidad de una empresa sobre los datos de sus clientes. El RGPD exige seleccionar encargados adecuados, establecer medidas concretas y comprobar que esas protecciones se aplican realmente.
La ausencia de doble factor en accesos remotos, el uso de contraseñas débiles y la falta de una protección homogénea facilitaron el avance de los atacantes. Las dos resoluciones convierten esas carencias en la causa principal de las nuevas sanciones impuestas a Vodafone.
