Los gigantes de las telecomunicaciones pagan las consecuencias: KT, Vodafone y TIM enfrentan multas superiores a los 10 millones de euros por el manejo negligente de datos y las trampas contractuales. Pero la cosa empeora: Lotte Card queda suspendida durante seis semanas, mientras la postal austriaca paga una multa de 13 millones de euros por vender tus secretos políticos.

13
13
8
8
Más
12
3
5

Vistas: 12k Tiempo de lectura:4 min.

KT, la principal empresa de telecomunicaciones de Corea del Sur, multada con 54 000 millones de wones por una brecha de datos

Corea del Sur multa a KT con casi 54 000 millones de wons por una grave filtración de datos de clientes

La Comisión de Protección de la Información Personal (PIPC) de Corea del Sur ha multado a la empresa de telecomunicaciones KT Corporation con 53.979 millones de wones, lo que equivale a unos 33,6 millones de euros, por graves incumplimientos en la protección de datos.

La investigación determinó que los piratas informáticos tuvieron acceso a la red interna de KT durante casi 11 meses, desde octubre de 2024 hasta septiembre de 2025. Durante ese tiempo, la información personal de 16 647 clientes quedó expuesta. Al menos 368 clientes se vieron afectados por micropagos móviles fraudulentos, con pérdidas totales que ascendieron a 240 millones de wones (unos 149 000 euros).

Según la PIPC, el ataque comenzó cuando los piratas informáticos se hicieron con una femtocell perdida de KT, una pequeña estación base celular utilizada para cubrir zonas con señal inalámbrica débil. El dispositivo contenía un certificado de autenticación válido, que los atacantes copiaron en un dispositivo falso. Esto permitió que el dispositivo falso apareciera como parte de la red de KT e interceptara datos de los teléfonos móviles cercanos. Los atacantes recopilaron información confidencial, incluidos los números de teléfono de los clientes, así como los números IMSI e IMEI. Posteriormente, combinaron esta información con SMS interceptados y códigos de verificación automática por teléfono para realizar pagos móviles fraudulentos.

La comisión señaló que las medidas de seguridad de KT no eran lo suficientemente sólidas. Los certificados de autenticación para las femtoceldas seguían siendo válidos durante 10 años, las conexiones de red no estaban limitadas por direcciones IP de origen y una ruta del sistema permitía a los atacantes eludir las comprobaciones de seguridad estándar. Durante la investigación, la PIPC también halló que 38 servidores de la red de servicios informáticos de KT habían sido infectados con malware, incluyendo la puerta trasera BPFDoor, ya en marzo de 2024. La comisión señaló que KT conocía el malware, pero no lo reportó a las autoridades y, en cambio, gestionó el incidente internamente.

La comisión también señaló que KT borró los registros de red durante la inspección del malware. Debido a que algunos registros habían sido eliminados, la comisión afirmó que no podía determinar si se habían robado datos adicionales de los clientes.

Como parte de la medida de aplicación, la PIPC ordenó a KT que reforzara la seguridad de las femtoceldas y otros equipos de telecomunicaciones, mejorara su sistema de protección de datos personales, otorgara a su Director de Privacidad un mayor papel de supervisión y ampliara su certificación Information Security Management System (ISMS-P) para incluir sus sistemas de red móvil.

Tribunal austriaco confirma multa de 13 M€ contra intermediario de datos por venta ilegal de datos

El Tribunal Supremo Administrativo de Austria (VwGH) ha confirmado que Österreichische Post debe pagar una multa administrativa de 13 millones de euros por tratar y vender ilegalmente datos sobre las supuestas afiliaciones políticas de 2,2 millones de austriacos. El tribunal también dictaminó que la empresa solo tiene que pagar 100 000 euros en costas administrativas, en lugar del 10 % de la multa. La resolución pone fin al caso tras tres instancias ante el VwGH (expediente n.º Ro 2025/04/0007).

El caso tiene su origen en el tratamiento de datos realizado entre mayo de 2018 y febrero de 2019, cuando Österreichische Post, actuando como data broker, vendió datos estimados sobre afinidades políticas sin el consentimiento de los interesados. En 2019, la autoridad austriaca de protección de datos multó a la empresa con €18 millones por esta práctica.

Tras varios recursos, el VwGH había confirmado que la afinidad política es un dato personal sensible. La multa fue anulada brevemente porque la autoridad no había identificado a los responsables individuales dentro de la empresa, pero se reactivó después de que el Tribunal de Justicia de la Unión Europea aclarara que esto no es necesario para multas a personas jurídicas.

El tribunal también desestimó el argumento de la empresa de que la multa debía basarse únicamente en la facturación vinculada a la infracción. En su lugar, confirmó que la facturación anual del grupo es la base correcta para calcular las multas del RGPD, siguiendo las directrices de 2022 de la Junta Europea de Protección de Datos. Finalmente, el VwGH fijó la multa final en 13 millones de euros, reduciendo los costos administrativos a 100 000 euros.

El regulador portugués multa a Vodafone con 160 000 € por cambios en los contratos

ANACOM, el regulador de las comunicaciones de Portugal, ha multado a Vodafone con 160.000 € por modificar los contratos de los clientes sin el preaviso obligatorio.

Según el supervisor, Vodafone actualizó las condiciones de sus contratos para incluir publicidad obligatoria en su servicio de grabación automática de TV para unos 449.000 abonados. ANACOM indicó que la empresa no proporcionó a los clientes un aviso previo escrito de al menos 30 días y no informó a los usuarios de que podían cancelar sus contratos sin costes adicionales si no aceptaban las nuevas condiciones.

El regulador indicó que la decisión se basaba en las normas de la anterior Ley de Comunicaciones Electrónicas (LCE), concretamente en el artículo 48(16), que protegía los derechos de los clientes cuando se modificaban las condiciones contractuales.

Según la legislación vigente, los operadores de telecomunicaciones siguen obligados a notificar a los clientes los cambios de contrato con al menos un mes de antelación, mediante un formato claro y duradero, y a explicar el derecho a terminar el contrato sin penalizaciones. Vodafone ha apelado la decisión ante el Tribunal de Competencia, Regulación y Supervisión de Portugal.

Italia multa a TIM con 9,516 millones de euros por violar las normas de privacidad y telemarketing

La Autoridad Italiana de Protección de Datos (Garante per la protezione dei dati personali) ha multado a TIM, el mayor operador de telecomunicaciones del país, con 9,516 millones de euros por infringir las normas de privacidad y telemarketing, tras investigar a centros de llamadas no autorizados que realizaban llamadas promocionales en nombre de la empresa.

La investigación se inició tras recibir las autoridades 7.000 denuncias en 2025 sobre llamadas de marketing no deseadas, muchas de las cuales utilizaban números telefónicos enmascarados o números no registrados ante el regulador de comunicaciones de Italia. Muchas de las llamadas también se dirigían a personas que se habían inscrito en el Registro Público de Objeciones para evitar la venta telefónica.

La Autoridad determinó que los centros de llamadas utilizaban un esquema para hacer parecer legítimas sus actividades de venta. A los usuarios se les enviaban mensajes de texto desde números de teléfono disfrazados, con enlaces a formularios en el sitio web de un socio oficial de TIM. Una vez que los usuarios completaban los formularios, los centros de llamadas los contactaban nuevamente utilizando números registrados, creando la apariencia de una solicitud válida del cliente.

La Autoridad señaló que la empresa no supervisó adecuadamente a sus socios de venta y no garantizó el cumplimiento de las normas de privacidad en toda su red de telemarketing. También constató que TIM a menudo no respondía a las solicitudes de los clientes para acceder, suprimir u oponerse al uso de sus datos personales, y dificultaba innecesariamente para los usuarios darse de baja del marketing.

Además de la sanción, se ha ordenado a TIM que mejore su proceso de captación de clientes potenciales, refuerce la supervisión de su red de ventas y actualice sus procedimientos para gestionar los derechos de privacidad de los clientes.

Obtener una demo

ImmuniWeb puede ayudarle a prevenir brechas de datos y cumplir con los requisitos normativos.

Corea del Sur impone a Lotte Card una multa de 5 000 millones de wones por una filtración de datos

El regulador de servicios financieros de Corea del Sur ha impuesto una multa de 5.000 millones de wones (algo más de 3 millones de euros) a Lotte Card, una de las principales empresas de crédito y servicios financieros del país, de conformidad con el Specialized Credit Finance Business Act y el Credit Information Use and Protection Act, tras el hackeo de agosto de 2025 que provocó la filtración de la información crediticia de 2,97 millones de clientes.

Además, las operaciones de la empresa se suspenderán durante un mes y medio. Esta es la primera vez en el país que se impone una medida de este tipo como respuesta a un incidente de hackeo.

El Servicio de Supervisión Financiera inició una investigación en septiembre del año pasado tras Lotte Card reportar a las autoridades financieras una fuga de información relacionada con un hack.

La inspección detectó varias violaciones de los requisitos de seguridad establecidos por la Ley de Negocios Financieros de Crédito Especializado y la Ley de Uso y Protección de la Información Crediticia. Entre las violaciones figuraban la falta de aplicación de parches de seguridad en los sistemas de información, la falta de cifrado de números de registro de residentes y contraseñas, y la falta de instalación de software antivirus durante la operación del sistema de pago en línea de Lotte Card.

13
13
8
8
Más
12
3
5

Etiquetas:Ley de Privacidad Ley de Protección de Datos Ley de notificación de brechas de datos Multa Sanción Hacking Fuga de datos Violación de la privacidad Corredor de datos

Próximos pasos: