Un reciente ciberataque informático ha sacudido al club de fútbol sevillano Real Betis Balompié, dejando en evidencia vulnerabilidades en su sistema digital de socios. La Policía Nacional ha detenido a un individuo con formación en Informática, quien valiéndose de sus conocimientos técnicos, accedió de manera no autorizada a la plataforma «Soy Bético». Su objetivo era manipular su posición en la lista de espera para obtener un abono con asiento en el estadio Benito Villamarín, alterando datos de 10.911 socios y comprometiendo la integridad del sistema.
El ciberataque al Betis se originó en julio de 2024 cuando el detenido, utilizando sus conocimientos avanzados en tecnología, accedió a la plataforma de socios «Soy Bético». Desde su área privada, explotó una vulnerabilidad en la API de la entidad, obteniendo información de 10.911 socios sin su consentimiento.
Denuncia de un socio
La investigación se inició tras la denuncia de un socio que detectó irregularidades en su inscripción en el proceso de cambio de asiento. Gracias a un análisis forense digital, se determinó la brecha de seguridad y se identificó al responsable del ataque.
El detenido enfrenta cargos por acceso no autorizado a sistemas informáticos, manipulación de datos y suplantación de identidad, delitos tipificados en el Código Penal con penas que pueden incluir prisión y fuertes multas.
El ciberdelincuente no solo recopiló datos de identificación de los socios, sino que también suplantó la identidad de uno de ellos para inscribirlo en el proceso de cambio de asiento sin su autorización. Este movimiento le permitió manipular la media ponderada de los solicitantes y mejorar su propia posición en la lista de espera para obtener un asiento en el Estadio Benito Villamarín.
Modificación de bases de datos y brecha de seguridad
El atacante accedió a la «parte trasera» del sistema de socios del Real Betis, lo que le permitió modificar parámetros a su conveniencia. Entre sus acciones también eliminó a otros socios del proceso de asignación de abonos mediante la API, alterando de forma ilegítima la base de datos oficial del club.
El sistema de ciberseguridad del Real Betis detectó el ataque y, tras identificar la vulnerabilidad explotada, corrigió de inmediato la brecha y denunció los hechos ante la Policía y la Agencia de Protección de Datos. La entidad aseguró que su sistema de protección actuó de manera rápida y eficaz, evitando una filtración masiva de datos o su venta a terceros.
Fortalecimiento de la ciberseguridad en el Real Betis
Tras el incidente, el Real Betis ha reforzado sus protocolos de ciberseguridad para evitar futuros ataques. Entre las medidas adoptadas se incluyen:
- Mejoras en la seguridad de la API para evitar accesos no autorizados.
- Monitoreo continuo de actividad sospechosa en la plataforma de socios.
- Implementación de doble factor de autenticación para proteger las cuentas de los socios.
- Auditorías de seguridad periódicas para detectar vulnerabilidades y corregirlas antes de que sean explotadas.
El impacto del ciberataque en los socios
A pesar de la gravedad del incidente, el club ha asegurado que no se han producido modificaciones de datos de socios ajenos al atacante. Sin embargo, el ataque dejó en evidencia los riesgos asociados a la digitalización de los servicios deportivos y la importancia de reforzar las medidas de protección de datos.
Los socios afectados fueron notificados por el club sobre la incidencia y se han tomado medidas para reforzar la seguridad de sus cuentas. La Agencia de Protección de Datos también ha intervenido para garantizar el cumplimiento de la normativa vigente en cuanto a la protección de datos personales.
Los ciberataques en el mundo del fútbol no son un hecho aislado. En los últimos años, se han registrado casos de robo de datos de clubes, estafas en la reventa de entradas y hackeos a cuentas de jugadores o directivos. Además, los propios aficionados deben ser conscientes de los riesgos que conlleva compartir sus datos en plataformas no oficiales o realizar transacciones fuera de los circuitos autorizados.
