El Corte Inglés, una de las mayores empresas comerciales en España, ha sufrido una grave brecha de seguridad que ha expuesto información sensible de sus clientes. Según ha comunicado la propia empresa, el incidente se originó en un proveedor externo, cuyo sistema fue vulnerado, permitiendo el acceso no autorizado a datos personales, de contacto y al número de la tarjeta de compra de El Corte Inglés.
Este incidente, que ha salido a la luz a través de un comunicado oficial enviado a los clientes afectados, refleja un problema recurrente en la ciberseguridad actual: la debilidad de la cadena de suministro digital. Cada vez es más común que grandes empresas sufran ataques no directamente contra sus sistemas, sino contra terceros que manejan o procesan parte de sus datos. En este caso, el proveedor comprometido tenía acceso a información sensible, lo que ha provocado una crisis de privacidad que podría tener importantes consecuencias reputacionales y regulatorias.
¿Qué datos han sido expuestos?
El comunicado de El Corte Inglés detalla que los datos afectados incluyen información identificativa y de contacto de los clientes, como nombres, direcciones de correo electrónico y números de teléfono. Además, se ha accedido a los números de las tarjetas de compra específicas de El Corte Inglés, aunque, según la empresa, esta información no es suficiente para realizar pagos fraudulentos con ellas.
Sin embargo, la filtración de estos datos abre la puerta a un posible aumento de campañas de phishing y ataques de ingeniería social. Con el nombre, teléfono y correo de un cliente, los ciberdelincuentes pueden elaborar comunicaciones falsas muy convincentes, simulando ser El Corte Inglés, para solicitar datos adicionales como contraseñas o códigos de verificación.
Uso de la información y cambio de claves
Aunque El Corte Inglés ha insistido en que los números de tarjeta filtrados no pueden ser usados para pagos directos, el verdadero peligro reside en el uso de la información personal filtrada para lanzar ataques dirigidos de phishing. En este tipo de fraude, los atacantes contactan con los clientes simulando ser El Corte Inglés (o cualquier otro servicio conocido), solicitando información adicional, como contraseñas o datos bancarios.
El comunicado también incluye una recomendación clave para los clientes: cambiar las contraseñas de acceso al espacio personal de El Corte Inglés. Varios gestores de contraseñas ya han detectado esta brecha, enviando alertas automáticas a los usuarios cuyos datos se han visto comprometidos.
Si las credenciales filtradas coinciden con las de otros servicios, los atacantes podrían ampliar el impacto de esta brecha, accediendo a cuentas de correo electrónico, redes sociales o incluso cuentas bancarias.
Posibles consecuencias legales y regulatorias
En términos de comunicación, El Corte Inglés ha actuado de forma relativamente transparente y proactiva, informando directamente a los clientes afectados y poniendo a disposición un canal de contacto directo con su Delegado de Protección de Datos.
Sin embargo, la falta de detalles concretos sobre el alcance de la brecha (como el número exacto de clientes afectados) y la identidad del proveedor comprometido genera dudas. La transparencia total es clave para mitigar el impacto reputacional y recuperar la confianza de los clientes.
En el ámbito legal, esta brecha de seguridad coloca a El Corte Inglés bajo vigilancia de la Agencia Española de Protección de Datos (AEPD). El Reglamento General de Protección de Datos (RGPD) establece que las empresas son responsables de garantizar la seguridad de los datos personales que gestionan, incluso cuando estos datos están en manos de proveedores externos.
Si se determina que El Corte Inglés no implementó controles suficientes para garantizar la seguridad de sus proveedores, la empresa podría enfrentarse a multas significativas, que según el RGPD pueden alcanzar hasta el 4% de la facturación anual global.
