Hace casi dos años, en octubre de 2023, la Real Sociedad de Fútbol sufrió un incidente grave de ciberseguridad: un ataque de tipo ransomware que logró afectar a todos sus servidores virtuales. Ahora, la Agencia Española de Protección de Datos (AEPD) ha hecho firme una resolución que sanciona al club donostiarra con 110.000 euros, aunque este importe se ha reducido a 66.000 euros gracias al pronto pago y al reconocimiento de la responsabilidad.
A continuación, desglosamos lo sucedido, las deficiencias detectadas, las obligaciones legales incumplidas y las lecciones y conclusiones que cualquier otra organización, deportiva o no, puede extraer de este caso.
¿Qué ocurrió exactamente?
El ataque fue detectado por el club el 16 de octubre de 2023, cuando se dieron cuenta de que sus servidores se encontraban encriptados con la extensión .akira, una familia de ransomware. Tras el ataque, no solo se bloquearon los servidores, sino que también se comprometieron las copias de seguridad.
Además, quedaron expuestos datos sensibles sin estar adecuadamente cifrados (identificadores oficiales, datos de contacto, datos económicos, datos médicos, datos biométricos, imágenes, voz, historial profesional e incluso certificados de delitos sexuales). El número de víctimas se estima en 60.000 personas, entre aficionados, abonados, jugadores profesionales y no profesionales, empleados, técnicos, accionistas, etc.
¿Qué hizo mal la Real Sociedad? Las deficiencias identificadas
La resolución de la AEPD resalta varios incumplimientos por parte del club que permitieron que la brecha de seguridad tuviera tal alcance:
- Falta de cifrado: los datos personales afectados no estaban cifrados ni en tránsito ni en reposo.
- Red no segmentada y control de accesos deficiente: la AEPD señala que no se aisló adecuadamente la red, lo cual facilita que un ataque inicial en un punto se propague al resto del sistema.
- Notificación inicial y versiones contradictorias: en principio, el club indicó que ciertos datos no estaban afectados, pero luego reconoció que sí lo estaban. Esa inconsistencia penaliza legalmente y en términos de confianza.
- Evaluaciones insuficientes de riesgos y medidas correctoras incompletas: el análisis de riesgos, el registro de actividades de tratamiento y la evaluación de impacto estaban solo parcialmente cumplimentados y solo para algunas actividades. Además, a pesar de existir algunas políticas y documentos de seguridad, no contenían fechas claras ni evidencias de haber sido aplicados antes del incidente de forma eficaz.
Obligaciones legales vulneradas
La AEPD considera que la Real Sociedad incumplió, principalmente, los siguientes requerimientos legales:
- Principio de integridad y confidencialidad: no garantizó la seguridad adecuada de los datos personales, incluyendo medidas técnicas y organizativas apropiadas.
- Obligación de notificar la brecha de seguridad personal cuando se vean comprometidos datos personales: la entidad envió la notificación, pero la versión inicial contenía omisiones y contradicciones.
- Evaluación de riesgos adecuada y medidas de mitigación proactivas: las medidas, según la normativa, no solo han de ser reactivas, también han de servir para prevenir las consecuencias de estos ataques.
La resolución: multa económica y medidas de seguridad
La multa inicial que se le impuso a la Real Sociedad fue de 110.000 euros, pero el club obtuvo una reducción por reconocer su responsabilidad y acogerse al pronto pago. Finalmente, la multa ha sido de 66.000 euros.
Aparte de la sanción, la resolución de la AEPD impone al club un plazo de 3 meses para que acredite que se han implantado las medidas de seguridad adecuadas al riesgo.
Lecciones clave para otras organizaciones
Este caso puede servir para recordar que ninguna entidad está libre de sufrir un ciberataque, independientemente de su tamaño, recursos y visibilidad. Aquí van algunos aprendizajes prácticos aplicables a cualquier organización que maneje datos personales:
- Cifrado de datos: los datos importantes deben estar cifrados tanto en reposo como en tránsito.
- Copias de seguridad robustas: las backups han de estar fuera del alcance del atacante.
- Segmentación de red y control de accesos: hay que diseñar la red de forma que un incidente en una parte no lo comprometa todo.
- Telemetría y trazabilidad: lo ideal es tener registros detallados desde antes del incidente para poder investigarlo correctamente.
- Evaluación de riesgos e impacto: hay que hacerlas periódicamente, no solo cuando ya ha ocurrido algo.
- Comunicación clara y transparente: la obligación es informar pronto, de forma completa y sin contradicciones, a los afectados y a las autoridades.
En conclusión, la resolución del caso de la Real Sociedad refuerza la idea que muchos defendemos de que la protección de los datos personales no es solo una cuestión de cumplimiento legal, sino también de responsabilidad, transparencia y confianza.
Más allá de la sanción económica, lo que importa de verdad es que se tomen medidas reales para minimizar riesgos, que se adopten buenas prácticas de ciberseguridad y que se garantice que, cuando algo falle (que siempre puede pasar), el daño ocasionado sea el menor posible.
