Compañías de telecomunicaciones como Vodafone se han convertido en uno de los objetivos más atractivos para los ciberataques Gestionan millones de líneas, infraestructuras críticas y enormes bases de datos que incluyen nombres, teléfonos, direcciones, información contractual y, en determinados casos, datos bancarios. Una brecha puede tener, por tanto, consecuencias mucho más amplias que la simple interrupción de un servicio.
Vodafone conoce bien este riesgo. Solo durante el último año, la compañía asegura haber bloqueado más de 20 millones de amenazas digitales en España. Sus tres centros de ciberseguridad, ubicados en Madrid, Barcelona y Murcia, supervisan redes, equipos y sistemas de clientes empresariales, incluyendo 5,5 millones de líneas móviles protegidas.
Sin embargo, uno de los episodios más delicados para la operadora se remonta a noviembre de 2023. En apenas 19 días se sucedieron tres incidentes graves de seguridad que, en conjunto, afectaron a más de 800.000 personas. Años después, aquellos sucesos continúan teniendo consecuencias económicas para la compañía.
4 de noviembre: un ransomware cifra datos de 724.733 clientes
El primero de los ataques se produjo el 4 de noviembre de 2023. Un ransomware consiguió comprometer sistemas informáticos situados en un centro de datos de Barcelona y cifró información correspondiente a 724.733 clientes.
La puerta de entrada estuvo en la VPN corporativa. Los atacantes utilizaron una cuenta genérica destinada a tareas de mantenimiento que estaba protegida mediante una contraseña débil y carecía de doble factor de autenticación. A estas deficiencias se añadía otro elemento especialmente sensible: algunas máquinas utilizaban software antiguo que ya se encontraba fuera de soporte.
Una vez dentro de la infraestructura, los ciberdelincuentes pudieron ejecutar el ransomware y cifrar una cantidad considerable de información. La Agencia Española de Protección de Datos (AEPD) terminó imponiendo por este episodio una sanción de 500.000 euros.
El caso evidencia hasta qué punto una cuenta técnica aparentemente secundaria puede convertirse en una vía de acceso crítica cuando no existen suficientes barreras adicionales de autenticación y los sistemas no están correctamente actualizados.
8 de noviembre: otro ataque compromete los datos de casi 100.000 personas
Vodafone apenas tuvo tiempo para recuperarse. Cuatro días después, el 8 de noviembre, se produjo un segundo ataque de ransomware, esta vez contra un call center contratado para realizar campañas comerciales de televenta.
Los ciberdelincuentes lograron cifrar dos servidores, uno de los cuales almacenaba grabaciones de audio correspondientes a llamadas. El incidente terminó afectando a unas 100.000 personas: concretamente, 11.412 clientes y 87.097 potenciales clientes o interesados.
De nuevo, el acceso inicial se realizó mediante la VPN corporativa. Según recoge la resolución, “una vez dentro del sistema, los atacantes lograron escalar privilegios y vulnerar el sistema antivirus/antimalware, procediendo al despliegue del ransomware”.
La gravedad del incidente provocó avisos de organismos como la Guardia Civil e Incibe. La AEPD acabó sancionando este segundo episodio con otros 400.000 euros. Sumadas, las dos multas relacionadas con los ataques de los días 4 y 8 de noviembre alcanzan los 900.000 euros.
23 de noviembre: 60.000 usuarios de Super WiFi y datos en la dark web
Noviembre todavía guardaba un tercer problema. El 23 de noviembre de 2023, Plume, proveedor vinculado al servicio Super WiFi de Vodafone, sufrió una fuga de información que afectó a aproximadamente 60.000 usuarios.
El incidente adquirió una dimensión especialmente preocupante porque la información sustraída terminó puesta a la venta en la dark web. La brecha volvió a poner sobre la mesa el riesgo asociado a la cadena de proveedores: proteger los sistemas propios no elimina las vulnerabilidades que pueden aparecer en empresas externas con acceso o tratamiento de información de clientes.
Por este tercer episodio se conoció posteriormente una sanción de 750.000 euros, decisión que Vodafone recurrió ante la Audiencia Nacional.
Las consecuencias económicas de aquel mes negro son así considerables. A los 750.000 euros correspondientes al incidente relacionado con Super WiFi se añaden ahora las sanciones de 500.000 y 400.000 euros derivadas de los otros dos ataques. En conjunto, las multas vinculadas a aquellos sucesos alcanzan 1,65 millones de euros.
