Wind Tre multada con 1,7 M€ por brecha de datos que expone información de clientes

Las autoridades reguladoras están aplicando un control estricto contra la negligencia digital, imponiendo multas millonarias a Wind Tre, TeamViewer y CDSL por no proteger los datos de clientes ni las alertas a inversores. Mientras tanto, AliExpress se enfrenta a una sanción récord de €550M por comercializar productos inseguros, mientras que las empresas de telecomunicaciones y las aerolínes reciben multas por hacks de numeración cuestionables y dark patterns.

Wind Tre multada con 1,7 M€ tras filtración de datos que expuso información de clientes

La Autoridad de Protección de Datos de Italia ha multado a Wind Tre Spa, una de las mayores empresas de telecomunicaciones del país, con 1 715 600 euros tras detectar graves fallos de seguridad que provocaron dos ciberataques que afectaron a más de 365 000 clientes.

La investigación comenzó tras la notificación de dos brechas de datos por parte de la empresa en febrero de 2025. Las autoridades descubrieron que los piratas informáticos se hicieron pasar por técnicos de soporte y convencieron a los empleados de dos tiendas para que les dieran acceso a los sistemas de la empresa. Esto permitió a los atacantes robar la información personal y de contacto de los clientes. En algunos casos, los datos robados también incluían información relacionada con los pagos, como recibos de pago por correo, IBAN y tarjetas de crédito con números de tarjeta y fechas de caducidad parcialmente ocultos.

La autoridad señaló que Wind Tre utilizaba prácticas deficientes en la gestión de las credenciales de inicio de sesión y los certificados digitales. Asimismo, constató que las auditorías de seguridad de la empresa no detectaron vulnerabilidades que podrían haberse detectado mediante verificaciones más exhaustivas.

La autoridad dictaminó que Wind Tre infringió las normas del RGPD en materia de seguridad y confidencialidad de los datos. Ordenó a la empresa que mejorara la protección de las credenciales y certificados digitales, introdujera herramientas seguras de gestión de contraseñas y reforzara sus procedimientos de ciberseguridad para ayudar a prevenir futuros ataques.

TeamViewer, multada con 240.000 € por no informar sobre un ciberataque a tiempo

El regulador financiero alemán BaFin ha multado a la empresa de software TeamViewer con 240 000 € por no informar rápidamente a los inversores sobre un ciberataque ocurrido en 2024. El regulador afirmó que la empresa infringió el Reglamento de la UE sobre abuso de mercado (MAR) al no emitir un comunicado ad hoc tan pronto como tuvo conocimiento del incidente.

TeamViewer creyó que el ataque fue perpetrado por el grupo de hackers ruso identificado como APT29/Midnight Blizzard. La empresa afirmó que los hackers solo accedieron a su sistema informático interno, sustrayendo nombres de empleados, datos de contacto y contraseñas confidenciales. Añadió que los datos de los clientes, los sistemas de productos y las plataformas de comunicación no se vieron afectados.

En lugar de informar inmediatamente a los inversores, TeamViewer publicó primero un aviso en su sitio web dirigido a los clientes. Tras la noticia del ataque, el precio de las acciones de la empresa cayó aproximadamente un 10%.

Según la normativa de la UE, las empresas que cotizan en los mercados financieros alemanes deben publicar de forma inmediata cualquier información que pueda afectar al precio de sus acciones. La BaFin indicó que TeamViewer incumplió este requisito, motivo de la multa.

La SEBI multa a CDSL con 10 millones de rupias por un ataque de malware en 2022

El regulador de los mercados de la India, la SEBI, ha multado a Central Depository Services (India) Ltd (CDSL) con 10 millones de rupias (unos 90.800 euros) por fallos de ciberseguridad y cumplimiento normativo relacionados con un ataque de malware en 2022. La SEBI indicó que CDSL no identificó ni protegió un servidor expuesto a Internet como activo crítico, lo que permitió a los piratas informáticos acceder a los sistemas. El depositario gestiona aproximadamente 83 millones de cuentas de inversores, lo que representa alrededor del 70 % del total del país.

El regulador también constató que CDSL no detectó las intrusiones informáticas en tiempo real, no analizó adecuadamente las alertas de seguridad y no cumplió las normas para restablecer las operaciones de liquidación a través de sitios de respaldo. El ataque de malware interrumpió servicios clave del depositario, incluidas las liquidaciones de operaciones, las acciones corporativas, las garantías de margen y las transferencias interdepositarios, lo que retrasó las liquidaciones previstas para el 18 de noviembre de 2022.

SEBI indicó que el incidente fue resultado de recurrentes debilidades de ciberseguridad, incluido un monitoreo deficiente, controles débiles de contraseñas y la falta de implementación de las medidas de seguridad requeridas.

Por otra parte, la Autoridad Central de Protección del Consumidor de la India (CCPA) ha multado a la aerolínea de bajo coste SpiceJet con ₹1 lakh (unos €908) por utilizar dark patterns en su página web de reservas. Según la CCPA, la página de reservas de la empresa inscribía automáticamente a los clientes en el programa de viajero frecuente de SpiceJet y preseleccionaba el consentimiento para recibir mensajes promocionales por SMS, WhatsApp y correo electrónico.

La CCPA dictaminó que dichas prácticas constituían una práctica comercial desleal, un contrato abusivo y publicidad engañosa en virtud de la Ley de Protección del Consumidor de 2019. Asimismo, determinó que SpiceJet infringió la Regla 4(9) del Reglamento de Protección del Consumidor (Comercio Electrónico) de 2020, que exige el consentimiento claro del consumidor y prohíbe específicamente las casillas premarcadas.

El regulador también determinó que la interfaz de reservas utilizaba dark patterns prohibidos según las Directrices para la Prevención y Regulación de Dark Patterns, 2023, y ordenó a la aerolínea presentar un informe de cumplimiento en un plazo de 15 días.

ICASA multa a Session Telecoms con 6 millones de rands por violar las regulaciones de numeración

El regulador de comunicaciones de Sudáfrica, ICASA, ha impuesto una multa de 6 millones de rand (320 000 €) al proveedor de telecomunicaciones B2B Session Telecoms por el uso indebido de recursos de numeración, en infracción de los Reglamentos del Plan de Numeración.

El caso se originó tras una queja presentada en abril de 2023 por MTN, una filial sudafricana del proveedor de telecomunicaciones con sede en Johannesburgo, MTN Group. MTN alegó que Session participaba en prácticas vinculadas a operaciones de elusión de interconexión, incluyendo la manipulación de la Identificación de Línea Llamante (CLI), el re-archivado de llamadas y el SIM-boxing. La queja fue investigada y escuchada por el Comité de Quejas y Cumplimiento (CCC) de la ICASA, bajo la Sección 17B de la Ley de la ICASA.

El CCC determinó que Session infringió la norma 6(3)(f) del Reglamento del Plan de Numeración al utilizar números no válidos y no asignados. Asimismo, ha determinado que la empresa infringió la norma 6(3)(g) del Reglamento del Plan de Numeración al no garantizar que los recursos de numeración se utilizaran de manera eficiente y eficaz, lo que provocó que las comunicaciones no se enrutaran a través de la red de MTN tal y como se exigía.

ICASA impuso una multa de 3 millones de rand (160 000 euros) por la infracción del artículo 6(3)(f) del Reglamento y otros 3 millones de rand por la infracción del artículo 6(3)(g). Además de las multas, el regulador ordenó a Session que dejara de cometer nuevas infracciones de los Reglamentos del Plan de Numeración; prohibió y, cuando procediera, retiró los recursos de numeración afectados; y sometió a la empresa a una estrecha supervisión de cumplimiento.

Session también deberá presentar informes mensuales de cumplimiento durante 24 meses, incluyendo detalles de los registros de llamadas y el tráfico de llamadas internacionales transportados por su red.

AliExpress multado con 500 millones de euros por la UE por incumplir la DSA

La UE ha impuesto una multa récord de 550 millones de euros a la plataforma china de compras en línea AliExpress por no impedir la venta de productos ilegales en su sitio web. La multa, emitida bajo el Digital Services Act de la UE, es la mayor jamás impuesta bajo dicha ley, cuyo objetivo es proteger a los consumidores de productos inseguros y prácticas engañosas en línea.

La Comisión Europea constató que AliExpress no contaba con personal suficiente para comprobar adecuadamente si los productos cumplían las normas de seguridad de la UE, y que, en ocasiones, los moderadores dedicaban tan solo unos segundos a revisar los artículos. Como consecuencia, cosméticos peligrosos, juguetes inseguros, productos falsificados y otros artículos ilegales permanecieron en la plataforma durante semanas y, a menudo, se recomendaban a los clientes a través de sus sistemas de publicidad y recomendación.

Las autoridades también señalaron que AliExpress no impuso sanciones a los vendedores que infringían las normas, lo que permitió que muchos de ellos siguieran operando. Se constató que los controles de la empresa para detectar productos falsificados y mal etiquetados eran ineficaces, lo que facilitaba a los vendedores eludir la detección. La Comisión concluyó que AliExpress no tomó medidas suficientes para minimizar la difusión de productos ilegales ni para evaluar con precisión el funcionamiento de sus sistemas de moderación.

Próximos pasos:

• Solicite una demostración gratuita o información sobre precios
• Regístrese en nuestros webinars y formaciones de productos
• Lea nuestro blog semanal de Investigaciones sobre ciberdelincuencia
• Síguenos en LinkedIn, X, Telegram y WhatsApp
• Suscríbase a nuestro boletín.
• Únase a nuestro Partner Program