Amazon pagará 2,25 millones de dólares por retener registros a víctimas de fraude

Amazon paga una multa récord de 2,25 millones de dólares por retener registros de fraude, mientras que Corea del Sur y México imponen multas de miles de millones a Coupang y a aficionados al fútbol por fallos en la privacidad de datos. Los reguladores de todo el mundo están actuando simultáneamente contra la laxitud en la verificación de edad y el consentimiento biométrico, desde sitios para adultos hasta Character.AI.

Amazon pagará $2,25 M por retener registros de víctimas de fraude

Amazon ha aceptado pagar una multa civil récord de 2,25 millones de dólares después de que la Comisión Federal de Comercio de EE. UU. (FTC) señaló que la empresa no había proporcionado a las víctimas de robo de identidad los registros de las transacciones fraudulentas realizadas a su nombre.

Según la FTC, los agentes de atención al cliente de Amazon solían denegar las solicitudes de registros, alegando que no podían proporcionarlos por motivos de «privacidad» o «seguridad». En otros casos, la empresa excedió los 30 días exigidos por la Ley de Informes de Crédito Justos (FCRA) para proporcionar la información. A algunos clientes también se les informó que Amazon no podía acceder a los registros que necesitaban. El organismo regulador señaló que Amazon no contaba con una política para responder a las solicitudes de la sección 609(e) hasta principios de 2025, tras enterarse de la investigación.

La queja de la FTC también indicaba que Amazon se negó a proporcionar registros a las agencias de aplicación de la ley autorizadas legalmente para solicitarlos en nombre de las víctimas de robo de identidad. Algunos consumidores incluso enviaron a Amazon copias de la ley y de las guías de la FTC, pero la empresa aún no proporcionó los registros solicitados.

Como parte del acuerdo, Amazon debe pagar la multa de 2,25 millones de dólares y proporcionar, en un plazo de 30 días, los registros legalmente solicitados a las víctimas de robo de identidad y a los cuerpos policiales autorizados. La empresa también debe notificar a los clientes que solicitaron registros desde abril de 2024 sin haberlos recibido, para que puedan obtener la información.

La empresa surcoreana LocknLock multada por 530 millones de won por violaciones de datos

La Comisión de Protección de Datos Personales (PIPC) de Corea del Sur ha impuesto un recargo de 530 millones de won (unos 337 000 dólares) y multas por valor de 5,4 millones de won (unos 35 000 dólares) al fabricante de artículos para el hogar LocknLock, después de que se filtraron los datos personales de alrededor de 1,3 millones de clientes en una serie de ciberataques. Las sanciones administrativas se imponen por incumplimiento de la Ley de Protección de Datos Personales (PIPA).

La comisión afirmó que los hackers comprometieron por primera vez los sistemas de la empresa en abril de 2024, aprovechando una vulnerabilidad de seguridad. Posteriormente, los intrusos robaron información de clientes y empleados, incluidos nombres, números de teléfono, direcciones y algunos documentos confidenciales de empleados.

Las autoridades descubrieron que LocknLock no había instalado importantes actualizaciones de seguridad, utilizaba la misma contraseña para las cuentas de administrador y no detectó la filtración hasta que la empresa recibió un correo electrónico de chantaje de los hackers. Además de las multas, también se ordenó a la empresa que publicara la sanción en su página web.

El supervisor también ha multado a la empresa surcoreana de BPO Ubase con 168 millones de wones (unos 105 000 €) y al distribuidor de equipos fotográficos y de vídeo SUN-PHOTO con 30 millones de wones (unos 18 750 €) tras brechas de datos separadas que expusieron la información personal de 1 852 y unos 170 000 usuarios, respectivamente.

En junio, Coupang, el mayor minorista en línea de Corea del Sur, fue sancionado con una multa de 624 700 millones de wones (409 millones de dólares) tras una grave filtración de datos que expuso la información personal de más de 30 millones de clientes el año pasado. La sanción es la mayor impuesta jamás por una filtración de datos personales, superando la multa récord anterior impuesta a SK Telecom en octubre de 2025.

Italia sanciona al creador de Character.AI por cuestiones sobre el RGPD y la seguridad de los menores

La autoridad italiana de protección de datos ha multado a Character Technologies con 158.000 € por infringir el GDPR de la Unión Europea. La multa debe pagarse en un plazo de 30 días desde la notificación y sigue a una investigación sobre cómo la plataforma de IA gestiona los datos personales de los usuarios y protege a los menores.

Character Technologies es una empresa estadounidense responsable de Character.AI, un servicio de chatbot en el que los usuarios pueden chatear con personajes generados por IA, entre los que se incluyen asistentes virtuales y personajes de juegos de rol.

El regulador italiano afirmó que la empresa no proporcionó información suficientemente clara sobre cómo se recopilan y utilizan los datos de los usuarios y que el sistema de verificación de edad del servicio no era lo bastante eficaz.

El Garante ha indicado que Character Technologies debe mejorar su sistema de verificación de edad, reforzar las medidas que impiden que los menores bloqueados creen nuevas cuentas y configurar los perfiles de los menores como privados por defecto.

El regulador también constató que la empresa no había completado la evaluación de impacto de la protección de datos requerida y no había designado a un representante de la UE dentro del plazo establecido.

En abril, el organismo regulador italiano multó a Intesa Sanpaolo con 31,8 millones de euros después de que una investigación revelara que un empleado había accedido a la información bancaria personal de más de 3.500 clientes en más de 6.600 ocasiones sin autorización. El DPA concluyó que los controles internos del banco no lograron detectar el acceso no autorizado.

Ofcom multa a un sitio de contenido para adultos con £630.000 por violaciones de la Online Safety Act

El organismo regulador de las comunicaciones del Reino Unido, Ofcom, ha multado al operador de una plataforma de contenido para adultos con 630 000 libras esterlinas (~840 000 dólares) por infringir las normas de la Online Safety Act.

La sanción incluye £600,000 por no establecer verificaciones de edad adecuadas para evitar que los niños accedan a contenido pornográfico. Se impusieron £30,000 adicionales (~$40,000) después de que la empresa no proporcionara la información solicitada por Ofcom.

A raíz de la intervención de Ofcom, Fapello[.]com bloqueó el acceso a los usuarios del Reino Unido.

Ofcom también ha iniciado una nueva investigación sobre Bit Hive, el operador de Eporner[.]com, para comprobar si su sistema de verificación de edad cumple los requisitos legales. El regulador también ha ampliado su investigación sobre Kemono[.]cr ante preocupaciones de que podría no haber cumplido con las solicitudes oficiales de información.

Federación Mexicana de Fútbol multada por unos 1,95 millones de euros por violaciones de privacidad de datos FAN ID

La Federación Mexicana de Fútbol (FMF) ha sido multada con 42,8 millones de pesos (unos 1,95 millones de euros) por la Secretaría Anticorrupción y Buen Gobierno de México por violaciones a la legislación en materia de protección de datos personales relacionadas con el sistema de identificación digital FAN ID.

Las autoridades constataron que la FMF no informó claramente a los usuarios de que las fotografías faciales recopiladas para crear un FAN ID se consideran datos personales sensibles, lo que impidió a los aficionados comprender plenamente cómo se trataría su información biométrica.

La Secretaría determinó asimismo que la federación no había obtenido el consentimiento expreso y por escrito exigido por la ley para el tratamiento de datos personales sensibles. En su lugar, la federación utilizó una casilla de selección en su sitio web para autorizar el registro, lo que, según dictaminó la autoridad, no cumplía los requisitos legales.

La autoridad también determinó que la FMF no había cumplido con sus responsabilidades legales, ya que no tomó las medidas necesarias para garantizar que los datos personales fueran tratados adecuadamente.

Próximos pasos:

• Solicite una demostración gratuita o información sobre precios
• Regístrese en nuestros webinars y formaciones de productos
• Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
• Síguenos en LinkedIn, X, Telegram y WhatsApp
• Suscríbase a nuestro boletín.
• Únase a nuestro Partner Program