Las autoridades de protección de datos están actuando con firmeza, imponiendo multas por más de 1,3 millones de dólares a Google, Vodafone y otros por un seguimiento de ubicación descuidado y fallos en la gestión del ransomware. Mientras tanto, las empresas estadounidenses TradeZero y Ambry Genetics enfrentan severas sanciones por filtraciones en sus chatbots y brechas de seguridad por phishing que dejaron expuestos a millones de clientes.

Más

Vistas: 7.2k Tiempo de lectura:3 min.

N.º 11 | Septiembre 2026, 4ª semana

Multan a un intermediario de datos por una violación de datos que involucra a un chatbot de terceros

TradeZero America, Inc. ha sido multada en 750.000 dólares por la División de Valores de Massachusetts tras una filtración de datos relacionada con un servicio de chatbot de terceros utilizado en la página web de la empresa.

Según un acuerdo de consentimiento, un hacker desconocido obtuvo acceso en julio de 2024 a información personal identificable perteneciente a miles de clientes de TradeZero a través del servicio de chat en línea Tawk.to. También se comprometieron los documentos que los clientes subieron a través del chatbot.

La investigación determinó que TradeZero no había verificado adecuadamente al proveedor de terceros ni se había asegurado de que se implementaran controles de seguridad adecuados. La empresa matriz de TradeZero pagó posteriormente al pirata informático en Bitcoin a cambio de la promesa de borrar los datos robados, pero la empresa no ha recibido prueba de que la información fue eliminada.

La investigación también reveló que TradeZero utilizaba un sistema automatizado para revisar las solicitudes de los clientes. En consecuencia, algunos clientes fueron aprobados para cuentas de margen o operaciones con opciones sin cumplir los requisitos adecuados, según la orden de consentimiento.

Además de la multa de 750.000 dólares, TradeZero debe reembolsar a los inversores de Massachusetts las pérdidas derivadas de las aprobaciones indebidas. La empresa también debe contratar a un consultor independiente de cumplimiento normativo y reforzar sus políticas de ciberseguridad y de aprobación de cuentas.

Google multado con 403 millones de euros por datos de ubicación

La autoridad de保護 de datos de Irlanda ha multado a Google con 403 millones de euros por la forma en que recopilaba y almacenaba los datos de localización de los usuarios, tras una investigación de seis años.

La Comisión de Protección de Datos (DPC) inició su investigación en 2020 tras quejas de asociaciones de consumidores europeas. Examinó funciones de Google, incluyendo Web & App Activity, Location History y Location Accuracy.

La DPC determinó que Google violó varias reglas bajo la ley de privacidad RGPD de la UE. Los reguladores afirmaron que la empresa procesó datos de ubicación de manera ilícita y no fue lo suficientemente clara con los usuarios sobre cómo se manejaba su información. Las autoridades también encontraron que algunos datos de ubicación se almacenaron durante más tiempo del necesario.

Además de la multa, la DPC ha ordenado a Google que modifique sus prácticas de tratamiento de datos para cumplir con las normas del RGPD en un plazo de seis meses. El regulador ha indicado que publicará la decisión completa en una fecha posterior.

Vodafone España deberá pagar 400 000 € tras un ataque de ransomware

La Agencia Española de Protección de Datos (AEPD) ha multado a Vodafone España con 400.000 € después de que un ataque de ransomware a uno de sus proveedores de servicios expusiera los números de teléfono de casi 500.000 clientes.

El ataque tuvo lugar el 27 de mayo de 2023. El proveedor de servicios actuaba como encargado del tratamiento para Vodafone y almacenaba información de clientes en sus sistemas. Los atacantes explotaron una vulnerabilidad crítica divulgada públicamente en enero de 2023, pero que no se había corregido.

La filtración afectó a 486 768 clientes particulares y a 14 571 contactos autorizados de clientes empresariales. Los números de teléfono quedaron expuestos sin cifrado. En algunos casos, se vio afectada otra información de los clientes, como nombres, direcciones de correo electrónico y datos del DNI. El ataque también provocó una pérdida de disponibilidad de los datos, lo que obligó al proveedor a restaurar los archivos a partir de copias de seguridad.

La AEPD señaló que la infracción era la tercera infección por ransomware que sufría el encargado del tratamiento en cinco meses. Vodafone notificó el incidente a la autoridad el 30 de mayo de 2023.

El caso incluía inicialmente presuntas infracciones de los artículos 28, 32 y 5.1, letra f), del Reglamento General de Protección de Datos (RGPD). La acusación relativa al artículo 28 se retiró posteriormente, una vez que Vodafone presentó el acuerdo de tratamiento pertinente.

En su resolución definitiva, la AEPD reclasificó la infracción restante del artículo 5.1, letra f), que cubre el principio de integridad y confidencialidad, al artículo 32 GDPR, que exige medidas de seguridad adecuadas para el tratamiento de datos personales. Como resultado, la multa se redujo de la cuantía propuesta durante el procedimiento a 400 000 €.

Miljödata multada con 1,8 millones de coronas suecas tras una grave filtración de datos

El proveedor sueco de TI Miljödata ha sido multado con 1,8 millones de SEK (aproximadamente 160 000 euros) por la Autoridad Sueca de Protección de Datos (IMY) tras una grave brecha de datos en agosto de 2025.

Según Miljödata, un pirata informático accedió y posteriormente publicó datos personales en la Dark Web, lo que afectó a unas 2,2 millones de personas. La información sustraída incluía números de seguridad social, datos de contacto e información sensible sobre bajas por enfermedad, rehabilitación y actividades escolares.

Entre los clientes de Miljödata se encuentran numerosos municipios, regiones, organismos públicos y empresas privadas suecas. La IMY también está investigando a dos municipios y una región en relación con esta filtración.

La IMY determinó que Miljödata no contaba con medidas técnicas y organizativas de seguridad lo suficientemente sólidas para proteger los datos personales que gestionaba. La empresa tampoco disponía de controles suficientes al instalar nuevo software ni contaba con un sistema de monitoreo automático en tiempo real para detectar actividades sospechosas. La IMY concluyó que Miljödata había actuado con negligencia y le impuso una multa de 1,8 millones de coronas suecas por infringir el artículo 32 del Reglamento General sobre Protección de Datos (RGPD) de la UE.

Obtener una demo

ImmuniWeb puede ayudarle a prevenir brechas de datos y cumplir con los requisitos normativos.

Ambry Genetics acepta un acuerdo de 700,000 dólares tras un ataque de phishing que expuso datos sanitarios

La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. ha alcanzado un acuerdo de 700.000 dólares con Ambry Genetics Corporation por posibles infracciones de la HIPAA Security Rule.

Ambry, una empresa con sede en California que ofrece pruebas genéticas y servicios de genómica clínica, descubrió en enero de 2020 que la cuenta de correo electrónico de un empleado había sido comprometida en un ataque de phishing. El incidente pudo haber expuesto la información sanitaria protegida de 225.370 personas, incluyendo nombres,addresses, fechas de nacimiento, algunos números de Social Security o de licencia de conducir, información financiera, diagnósticos médicos, resultados de laboratorio, medicamentos y detalles de tratamiento.

Tras la investigación, la Oficina de Derechos Civiles determinó que Ambry podría no haber evaluado adecuadamente los riesgos de seguridad, eliminado el acceso a la información sanitaria electrónica cuando ya no era necesario, ni asignado identificadores únicos de usuario en sistemas que contienen información sanitaria protegida.

En virtud del acuerdo, Ambry está obligada a pagar 700 000 dólares y a seguir un plan de medidas correctivas supervisado por la agencia durante dos años. La empresa debe llevar a cabo una nueva evaluación de riesgos de seguridad, mejorar sus políticas de seguridad, reforzar la identificación de los usuarios e impartir formación a los empleados sobre los requisitos de seguridad de la HIPAA.

Más

Etiquetas:Ley de Privacidad Ley de Protección de Datos Ley de notificación de brechas de datos Multas Fuga de datos Cumplimiento de ciberseguridad Violaciones de privacidad Ataque de ransomware Ataque de phishing

Próximos pasos: