Multa de 110.000 euros a la Real Sociedad por un ciberataque que afectó a datos de aficionados, jugadores y empleados

La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 110.000 euros a la Real Sociedad de Fútbol por un ciberataque sufrido en octubre de 2023 que comprometió datos personales, algunos de categorías sensibles, de aproximadamente 60.000 personas, entre aficionados, jugadores y empleados. Entre la información afectada se encuentran nombres, apellidos, DNI, direcciones postales y electrónicas, teléfonos y, en el caso de los abonados, números de cuenta bancaria.

El ataque se detectó el 16 de octubre de 2023, cuando todos los servidores virtuales del club aparecieron encriptados con la extensión “.akira”. Se trataba de una de las infecciones de ransomware más activas en aquel momento, un tipo de ataque que secuestra los sistemas informáticos de la víctima y le exige un rescate por recuperarlos.

El incidente inutilizó las copias de seguridad y afectó a datos que no estaban cifrados, incluidos identificadores oficiales, cuentas bancarias, información médica, datos biométricos y documentos sensibles, como certificados de delitos sexuales de empleados. En su resolución, la AEPD destaca que la Real Sociedad “carecía de las medidas de protección adecuadas al riesgo”, como la segmentación de red y cifrado de los datos, factores que agravaron el impacto de la infección.

El club ha aceptado su responsabilidad en la falta de protección de la información y se ha acogido a la reducción por pronto pago, lo que le ha permitido rebajar el importe de la sanción a 66.000 euros.

Los afectados por el ciberataque incluyen abonados, accionistas, miembros de RS Fan y RS Laguna (dos grupos de simpatizantes del equipo), empleados, jugadores profesionales y no profesionales, técnicos, participantes en campus y eventos, así como personas que solicitaron segundas opiniones médicas. La Real Sociedad notificó inicialmente que los datos de abonados, accionistas y clientes no se habían visto comprometidos, pero posteriores comunicaciones a la AEPD reconocieron que sí lo estaban.

La Agencia advirtió que, debido a las contradicciones en las versiones ofrecidas por el club, no podía descartarse que el incidente hubiera afectado a la totalidad de los datos almacenados en los servidores. El Registro de Actividades de Tratamiento reveló que estos incluían datos de categoría especial, como información médica y psicológica de jugadores, discapacidades, alergias, datos de riesgos laborales, imágenes y voz, así como certificados de delitos sexuales.

También constaban datos económicos y laborales (nóminas, deducciones fiscales, historial profesional), patrimoniales, credenciales de acceso, registros de navegación y datos técnicos y de rendimiento deportivo. Ninguno de estos datos estaba cifrado antes del ataque.

Aunque no se hallaron evidencias forenses de que la información fuera extraída o publicada en foros de cibercriminales, la AEPD concluyó que la Real Sociedad había vulnerado el principio de integridad y confidencialidad de los datos, así como la obligación de garantizar su seguridad. El organismo consideró la naturaleza y volumen de los datos afectados, la duración de la brecha —del 14 de octubre al 6 de noviembre de 2023— y el hecho de que la actividad del club implica un tratamiento intensivo de información personal como factores agravantes.

Además de la sanción económica, la resolución obliga al club a acreditar en un plazo de tres meses que ha implantado medidas de seguridad adecuadas al riesgo, conforme a lo recogido en el expediente sancionador. La decisión es firme en vía administrativa.