N.º 8 | Septiembre de 2026, semana 1
1 de septiembre de 2026Desde una empresa de bloqueo de llamadas multada por llamadas molestas hasta el acuerdo de 18.000 millones de dólares de Meta por adicción de los adolescentes, las multas por privacidad están en auge en todo el mundo. Brasil, Corea del Sur y Turquía están imponiendo duras sanciones a los gigantes tecnológicos y a los minoristas por no proteger los datos de los usuarios.
Empresa que vende protección contra llamadas no deseadas multada por realizarlas
Una empresa dedicada a la venta de dispositivos de bloqueo de llamadas ha sido multada con £190,000 (~€221,000) por realizar cientos de miles de llamadas molestas a personas mayores.
Elderly Aids Ltd realizó 758 053 llamadas en frío entre mayo de 2024 y febrero de 2025. Muchas de las personas contactadas estaban registradas en el Servicio de Preferencia Telefónica (TPS), diseñado para detener las llamadas comerciales no deseadas.
Se presentaron alrededor de 20 denuncias ante la Oficina del Comisionado de Información del Reino Unido (ICO) y el TPS. Algunas personas afirmaron que los llamadores eran agresivos y engañosos, y que a menudo no declaraban claramente quiénes eran.
Una de las denuncias indicó que se había persuadido a un anciano para pagar £139 (€162) por adelantado y £6,99 (€8,16) al mes por un servicio de bloqueo de llamadas. La ICO señaló que la empresa estaba «bombardeando a la gente con las mismas llamadas molestas de las que afirmaba protegerles».
Durante la investigación, Elderly Aids dejó de proporcionar repetidamente la información solicitada por la ICO y continuó realizando llamadas. La empresa también fue acusada de intentar darse de baja del registro de Companies House tras conocerse la investigación.
La ICO ha ordenado a la empresa que deje de realizar llamadas de marketing ilegales.
Brasil multa a TikTok en 153,7 millones de reales por fallos en la protección de datos de menores
La ANPD, el organismo regulador de la privacidad de Brasil, ha multado a ByteDance, propietaria de TikTok, con 153,7 millones de reales (aproximadamente 25,5 millones de euros) por no proteger adecuadamente los datos personales de niños y adolescentes.
El regulador indicó que TikTok violó la Ley General de Protección de Datos (LGPD) de Brasil al recopilar y procesar datos de usuarios jóvenes sin base jurídica válida ni salvaguardias adecuadas. El supervisor afirmó que TikTok violó los artículos 6 (apartados VIII y X) y 7 de la legislación. Las infracciones afectaron tanto a usuarios con sesión iniciada como a personas que navegaban por TikTok sin cuenta.
La investigación analizó dos formas en que los usuarios podían acceder a TikTok: el «feed sin registro», que no requería una cuenta, y el «feed con registro», que exigía a los usuarios crear un perfil.
En ambos casos, la ANPD determinó que TikTok procesaba datos personales de niños y adolescentes sin base jurídica válida. La empresa tampoco disponía de medidas eficaces para impedir que los menores accedieran a la plataforma sin registro o se registraran cuando no se les debería permitir hacerlo. La autoridad también determinó que TikTok no pudo aportar pruebas suficientes de que sus medidas técnicas y organizativas fueran eficaces para proteger los datos de los menores.
Se ordenó a TikTok que eliminara los datos recopilados en violación de la normativa y ha aceptado un plan de cumplimiento para abordar las cuestiones y mejorar sus prácticas de protección de datos.
Por otra parte, Meta ha aceptado un acuerdo propuesto de hasta 18 000 millones de dólares con 52 fiscales generales de estados de EE. UU. en relación con las denuncias de que Facebook e Instagram se diseñaron para fomentar un uso adictivo entre niños y adolescentes. En virtud del acuerdo, Meta está obligada a introducir normas más estrictas para los usuarios menores de 18 años, incluyendo límites diarios de tiempo de uso, restricciones nocturnas, controles parentales más estrictos, verificación de la edad y la eliminación de algunas funciones que puedan afectar negativamente al bienestar de los adolescentes. Meta pagará unos 18 000 millones de dólares a lo largo de 10 años, de los cuales unos 12 700 millones se destinarán a los estados participantes. Un auditor independiente supervisará el cumplimiento de la empresa.
Corea del Sur multa a dos filiales de HD Hyundai por filtración de datos en 2024
La Comisión de Protección de Información Personal (PIPC) de Corea del Sur ha multado a dos empresas del grupo HD Hyundai por una filtración de datos que expuso la información personal de 9.503 empleados y trabajadores de empresas asociadas.
La PIPC impuso una multa de 73,5 millones de wones (~46 000 €) a HD Hyundai Construction Equipment y una multa de 4,8 millones de wones (~3 000 €) a HD Korea Shipbuilding & Offshore Engineering.
La filtración ocurrió en marzo de 2024, cuando un hacker no identificado explotó una debilidad de seguridad relacionada con vulnerabilidades en la carga de archivos en un servidor de gestión de dispositivos móviles operado por HD Korea Shipbuilding & Offshore Engineering. El hacker cargó un web shell malicioso y obtuvo acceso a un sistema interno de HD Construction Equipment.
La información filtrada incluía los nombres y números de empleado de directivos, empleados y trabajadores de empresas asociadas.
La PIPC señaló que las empresas no habían implementado medidas de seguridad adecuadas, incluidos los controles de acceso entre sus sistemas. El organismo regulador afirmó que la «vinculación de negocio» innecesaria entre los sistemas permitió al pirata informático moverse desde el servidor comprometido hacia el sistema que almacenaba la información personal.
El organismo regulador indicó que las sanciones se impusieron por infracciones de las leyes de protección de datos personales de Corea del Sur.
Turquía multa a una empresa internacional con 1 millón de liras por no proteger los datos personales
La Autoridad de Protección de Datos Personales de Turquía (KVKK) ha multado a una empresa industrial global por un millón de liras turcas por no proteger adecuadamente los datos personales y por reportar un ataque de ransomware 23 días tarde.
El ataque comenzó cuando un empleado de la sucursal estadounidense de la empresa abrió un software descargado, el cual infectó un servidor de EE. UU. con ransomware. La infección luego se propagó a 797 servidores en la red global de la empresa y cifró múltiples archivos.
La filtración afectó la información personal de 4.885 empleados, clientes y proveedores. Los datos incluían detalles de identidad y de pasaporte, direcciones, IBAN, números de teléfono y grupos sanguíneos.
La KVKK indica que pruebas de penetración anteriores detectaron varias vulnerabilidades de seguridad en la red, pero la empresa no aportó pruebas de que se hubieran corregido dichos problemas. La autoridad también detectó sistemas obsoletos, políticas de contraseñas débiles, acceso de red excesivamente amplio y escasa conciencia de ciberseguridad entre los empleados.
La empresa fue multada con 800.000 liras por incumplir los requisitos de seguridad de los datos y con otras 200.000 liras por notificar la violación con retraso. La KVKK indicó que el retraso de 23 días no cumplía con el requisito de notificar las violaciones de datos «lo antes posible». Asimismo, señaló que las debilidades de seguridad de la red de la empresa aumentaron el impacto potencial del ataque.
GS Retail multada con 12 800 millones de wones por filtración de datos que afecta a 1,66 millones de clientes
El gigante minorista surcoreano GS Retail, que gestiona las tiendas de conveniencia GS25, ha sido multado con 12 800 millones de wones (unos 8,1 millones de euros) por una filtración de datos personales que afectó a unos 1,66 millones de clientes.
El supervisor de privacidad de Corea del Sur declaró que GS Retail también debe pagar una sanción administrativa de 3 millones de wones, adoptar medidas correctivas y publicar los resultados en su sitio web.
La PIPC constató que piratas informáticos llevaron a cabo ataques de credential stuffing contra el sitio web de televenta GS SHOP entre junio de 2024 y febrero de 2025. Ataques similares se dirigieron contra el sitio web de GS25 entre el 26 de diciembre de 2024 y el 4 de enero de 2025.
El «credential stuffing» consiste en usar nombres de usuario y contraseñas robados en otros lugares para intentar acceder a otras cuentas en línea. La comisión indicó que GS Retail no había implementado medidas de seguridad adecuadas, incluidos controles de acceso apropiados.
En otro caso, la PIPC multó al Centro Nacional para los Derechos del Niño con 863 millones de wones (unos 537 000 euros) y le impuso una sanción administrativa de 22,2 millones de wones (unos 14 800 euros) tras la pérdida de registros digitales relacionados con personas adoptadas y niños desaparecidos.
El centro perdió un CD que contenía alrededor de 1,14 millones de registros y un disco duro externo con 30.000 registros. Los archivos incluían información sensible, como nombres, direcciones, datos de contacto y números de registro de residentes.
La PIPC señaló que el centro no había gestionado adecuadamente los dispositivos de almacenamiento, no pudo determinar cuándo se perdieron y no notificó la filtración dentro del plazo obligatorio de 72 horas. Asimismo, detectó un fallo en la base de datos que expuso la información personal de 47 adoptados y padres adoptivos potenciales.
Próximos pasos:
- Solicite una demostración gratuita o información sobre precios
- Regístrese en nuestros webinars y formaciones de productos
- Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
- Síguenos en LinkedIn, X, Telegram y WhatsApp
- Suscríbase a nuestro boletín.
- Únase a nuestro Partner Program
Meta condenada a pagar multa de 567 M de dólares por infracciones de seguridad infantil
Continuous Threat Exposure Management (CTEM) con ImmuniWeb
Cómo elegir su proveedor de Dark Web y CTEM en 2027: mejores prácticas