La Agencia Española de Protección de Datos (AEPD) ha concluido un procedimiento sancionador contra la Real Sociedad de Fútbol S.A.D. que ilustra las complejidades y riesgos de un ciberataque para la gestión de datos personales. El caso, resuelto mediante reconocimiento de responsabilidad y pago voluntario, arroja una multa final reducida a 66.000 euros y expone deficiencias sistemáticas en la seguridad informática de la entidad atacada.

El incidente: un ransomware con consecuencias masivas

El 16 de octubre de 2023, la Real Sociedad detectó que sus sistemas habían sido comprometidos por un ataque de ransomware de la familia Akira. Lo que los técnicos del club descubrieron esa mañana fue devastador: todas las máquinas virtuales presentaban la extensión «.akira» y en cada carpeta aparecía un archivo de texto amenazante invitando al club a conectarse mediante la red TOR para negociar el rescate de sus datos.

El alcance del ataque resultó total. El 100% de los servidores virtualizados quedaron cifrados, afectando potencialmente a datos de aproximadamente 60.000 personas. Entre la información comprometida figuraban datos especialmente sensibles: números de DNI, cuentas bancarias, datos de salud de empleados, información médica y psicológica de jugadores, certificados de delitos sexuales, datos económicos y laborales, e incluso datos biométricos.

La cronología revela que los atacantes habían accedido a los sistemas desde el 14 de octubre, dos días antes de que el club detectara el problema. Durante ese tiempo, se movieron libremente por la infraestructura aprovechando vulnerabilidades en la red privada virtual (VPN) del club.

Las vulnerabilidades que facilitaron el ataque

El informe forense encargado por la Real Sociedad a S21Sec identifica varias deficiencias críticas que facilitaron tanto el acceso inicial como la propagación del ataque. La más grave: las tareas de restauración realizadas por terceros antes de la incorporación del equipo forense eliminaron evidencias cruciales que habrían permitido reconstruir completamente la cadena del ataque.

La entrada más probable se produjo aprovechando vulnerabilidades en la VPN, desde donde los atacantes accedieron a un ordenador personal conectado a la red local de las instalaciones deportivas de Zubieta. Desde ese punto de apoyo, lograron escalar privilegios hasta comprometer los servidores ESXI, lo que explica el impacto total sobre la infraestructura virtualizada.

Especialmente preocupante resulta que las copias de seguridad también quedaron cifradas, lo que revela el alcance total del ataque. Esta práctica elimina la utilidad fundamental de los backups: servir como red de seguridad independiente ante catástrofes informáticas. 

La ausencia de segmentación de red permitió que el ransomware se propagara sin obstáculos por todos los servidores virtualizados. Además, los datos personales no estaban cifrados, a pesar de que entre ellos figuraban categorías especialmente protegidas por el RGPD.

Doble infracción: seguridad inadecuada y vulneración de principios fundamentales

La AEPD ha identificado dos infracciones diferenciadas, aunque estrechamente relacionadas. La primera vulnera el artículo 5.1.f) del RGPD, que establece el principio de integridad y confidencialidad. Este principio obliga a tratar los datos de manera que se garantice su seguridad adecuada, incluyendo protección contra tratamiento no autorizado, pérdida, destrucción o daño accidental.

La brecha afectó tanto a la confidencialidad como a la disponibilidad de los datos. Aunque el informe forense no encontró evidencias de exfiltración —los datos no aparecieron en el blog del grupo atacante ni fueron puestos a la venta—, la pérdida de disponibilidad durante más de tres semanas constituyó por sí misma una violación grave. Los servicios del club que dependían de esos datos quedaron paralizados mientras duraba la recuperación.

La segunda infracción atañe al artículo 32 del RGPD, que exige medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. Aquí la resolución resulta especialmente crítica. El club carecía de medidas básicas de protección que habrían mitigado o impedido el ataque: datos sin cifrar, copias de seguridad inadecuadas, ausencia de segmentación de red, vulnerabilidades conocidas sin parchear y telemetría insuficiente en los dispositivos de seguridad perimetral.

La graduación de la sanción: factores agravantes

Para determinar la multa, la AEPD ha sopesado diversos criterios establecidos en el artículo 83.2 del RGPD. Entre los factores agravantes destaca el elevado número de afectados (60.000 personas), la diversidad y sensibilidad de los datos comprometidos, y la duración del incidente (desde el 14 de octubre hasta, al menos, el 6 de noviembre de 2023).

Resulta especialmente relevante la categoría de los datos afectados. Más allá de la información básica de contacto, figuran números de identificación nacional (DNI, NIE, pasaporte), que el Real Decreto 1553/2005 califica como identificadores con valor suficiente para acreditar identidad y nacionalidad, elementos especialmente sensibles por el riesgo de suplantación. También se vieron comprometidos datos de salud, información sobre posibles delitos sexuales, datos económicos completos de empleados y jugadores, y datos biométricos.

La AEPD también ha considerado que la actividad principal de la Real Sociedad implica necesariamente el tratamiento masivo y continuo de datos personales de abonados, accionistas, jugadores y clientes. Esta vinculación estrecha entre actividad empresarial y tratamiento de datos constituye un factor agravante adicional, pues implica una mayor responsabilidad en la implementación de salvaguardas adecuadas.

Partiendo de un volumen de negocios de 160,5 millones de euros en 2024, y aplicando los criterios de las Directrices 04/2022 del Comité Europeo de Protección de Datos, la AEPD propuso inicialmente sanciones de 60.000 euros por la infracción del artículo 5.1.f) y 50.000 euros por la del artículo 32, totalizando 110.000 euros.

Reconocimiento de responsabilidad y terminación anticipada

La Real Sociedad optó por reconocer su responsabilidad y proceder al pago voluntario de la sanción durante el plazo de alegaciones. Esta decisión, prevista en el artículo 85 de la Ley 39/2015 de Procedimiento Administrativo Común, permite aplicar dos reducciones acumulables del 20% cada una.

El reconocimiento de responsabilidad reduce la sanción en un 20% (quedando en 88.000 euros), y el pago voluntario anticipado aplica una reducción adicional del 20% sobre esa cantidad, resultando finalmente en 66.000 euros. Esta cifra representa el 0,04% del volumen de negocios del club, muy por debajo del máximo teórico del 4% que permite el RGPD para infracciones graves (más de 6,4 millones de euros en este caso).

La terminación anticipada mediante reconocimiento de responsabilidad supone una estrategia pragmática que beneficia a ambas partes: la AEPD cierra expedientes con mayor celeridad, y el sancionado reduce significativamente el impacto económico. Sin embargo, este mecanismo no exime de la obligación de adoptar medidas correctivas, aspecto crucial en este caso.

Las medidas correctivas obligatorias

La resolución establece que la Real Sociedad debe acreditar, en un plazo de tres meses desde que sea ejecutiva, la implementación efectiva de medidas de seguridad adecuadas al riesgo. Aunque la resolución publicada omite el detalle específico de estas medidas (probablemente por motivos de seguridad) si hace referencia a las recomendaciones del informe forense.

Entre las áreas de mejora identificadas figuran aspectos críticos de detección, prácticas de seguridad, estrategia y políticas internas. El club ha manifestado su intención de implementar medidas técnicas y organizativas conforme a la norma ISO/IEC 27002, estándar internacional que proporciona directrices de buenas prácticas para la gestión de la seguridad de la información.

Resulta significativo que el club ya había iniciado algunas mejoras tras el incidente: actualización de contraseñas, cierre de VPN, despliegue de nuevos sistemas de protección, gestión individualizada de usuarios administradores y realización de simulacros periódicos de phishing para empleados. No obstante, aspectos fundamentales como el cifrado de datos sensibles permanecían sin resolver en el momento de iniciarse el procedimiento sancionador.

El incumplimiento de estas medidas correctivas constituiría una infracción adicional del artículo 83.5 y 83.6 del RGPD, que podría dar lugar a un nuevo procedimiento sancionador con multas potencialmente más elevadas.

Lecciones para responsables de tratamientos

La seguridad como proceso continuo. No basta con implementar medidas en un momento dado; la evolución constante de las amenazas exige revisión y actualización permanente. El club disponía de algunos sistemas de protección (Sophos, antivirus, firewall), pero adolecía de vulnerabilidades críticas que neutralizaban su eficacia.

La arquitectura defensiva en profundidad. Un único punto de fallo (en este caso, la VPN vulnerable) permitió comprometer toda la infraestructura. La segmentación de red, el cifrado de datos sensibles, la separación física de backups y la limitación de privilegios constituyen capas defensivas que, combinadas, reducen exponencialmente el riesgo de compromiso total.

La respuesta inicial resulta crucial. Las acciones precipitadas del proveedor local antes de la intervención del equipo forense eliminaron evidencias que habrían permitido comprender completamente el ataque y sus posibles consecuencias. Ante un incidente de seguridad, preservar las evidencias debe ser prioritario, incluso por encima de la restauración inmediata del servicio.

La evaluación de impacto como herramienta preventiva. El club contaba con Evaluación de Impacto (EIPD) para algunas actividades de tratamiento, pero esta había identificado riesgos residuales medios o bajos tras aplicar medidas mitigantes. La brecha demostró que esa valoración resultó excesivamente optimista. Las EIPD deben actualizarse regularmente y sus conclusiones someterse a escrutinio realista.

La responsabilidad proactiva en su justa dimensión. El artículo 5.2 del RGPD establece que el responsable del tratamiento debe ser capaz de demostrar el cumplimiento de los principios de protección de datos. En este caso, la Real Sociedad había elaborado documentación (políticas de seguridad, análisis de riesgos), pero la implementación práctica de las medidas contempladas resultó claramente insuficiente. La documentación sin ejecución efectiva no satisface el estándar de responsabilidad proactiva.

Perspectivas y evolución futura

La resolución se enmarca en una tendencia creciente de ataques de ransomware contra entidades deportivas. Los clubes profesionales gestionan información particularmente valiosa: datos financieros de contratos millonarios, información médica detallada de jugadores de élite, estrategias deportivas confidenciales y datos personales de decenas de miles de abonados. Esta combinación los convierte en objetivos atractivos para grupos criminales organizados.

El caso también refleja la maduración de la doctrina de la AEPD en materia de ciberseguridad. La autoridad no exige medidas específicas predeterminadas, sino un análisis de riesgo genuino que fundamente decisiones razonadas sobre qué protecciones implementar. Este enfoque basado en riesgos, piedra angular del RGPD, traslada al responsable la carga de justificar que las medidas adoptadas resultan apropiadas considerando el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento.

La sanción relativamente moderada (en términos porcentuales sobre el volumen de negocio) probablemente responde a varios factores: la ausencia de negligencia extrema o mala fe, la colaboración con la autoridad, la ausencia de antecedentes sancionadores y, crucialmente, la constatación de que no se produjo exfiltración de datos. Aunque el ransomware cifró toda la información, el grupo atacante no logró —o no intentó— extraerla para su publicación o venta, limitando así el daño potencial para los afectados.

Reflexión final

Este caso de ransomware constituye un recordatorio de que ninguna organización resulta inmune a las amenazas cibernéticas actuales. Más allá de la sanción económica, limitada por el reconocimiento de responsabilidad, el verdadero coste del incidente incluye la interrupción operativa, el daño reputacional, los gastos de respuesta y recuperación, y la erosión de la confianza de abonados y empleados.

La protección de datos personales no constituye un mero trámite burocrático ni una carga regulatoria caprichosa. Representa, en su esencia, el reconocimiento de que la información personal merece salvaguardas proporcionales a los riesgos que su tratamiento implica para las personas. Cuando esas salvaguardas fallan, las consecuencias trascienden el ámbito administrativo para afectar directamente a miles de individuos que confiaron sus datos a una organización.