La Agencia Española de Protección de Datos -AEPD- ha impuesto una de las sanciones más elevadas de los últimos años a Hyundai Motor España, después de que un atacante lograra acceder a un servidor del grupo y extraer más de cinco gigabytes de información personal perteneciente a más de un millón de usuarios. Un caso del que ya hablamos hace algún tiempo y cuya información nos facilitó el Área Técnica de la empres tecnológica EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández-.
La brecha, que no fue detectada por los sistemas internos de la compañía, ha sido considerada por el organismo regulador como una vulneración grave del principio de integridad y confidencialidad del Reglamento General de Protección de Datos -RGPD-.
La resolución de la AEPD detalla un incidente que, por su alcance y por la forma en que se produjo, ha generado preocupación en el sector automovilístico y en el ámbito de la ciberseguridad. Según el expediente, un atacante aprovechó vulnerabilidades críticas presentes en un servidor del grupo -algunas de ellas pendientes de parchear desde hacía meses- para obtener acceso no autorizado a una base de datos utilizada en campañas de marketing. Durante un proceso de transferencia interna, los archivos quedaron temporalmente sin cifrar, lo que facilitó su exfiltración.
El volumen y tipo de información comprometida es significativo: nombres, apellidos, direcciones, teléfonos, correos electrónicos, fechas de nacimiento, identificadores de cliente e incluso números de identificación de vehículos -VIN-. En total, 1.012.730 personas se vieron afectadas. Aunque Hyundai alegó que los datos estaban cifrados ‘en reposo’, la AEPD subraya que la protección debe mantenerse también durante cualquier operación de tratamiento, especialmente cuando se manejan datos de carácter masivo.
Uno de los aspectos más llamativos del caso es que la compañía no detectó la intrusión. Fue el propio atacante quien, tras completar la extracción, contactó con Hyundai para informar de la brecha. La ausencia de mecanismos de monitorización eficaces -según la AEPD- impidió que los sistemas de seguridad alertaran de la actividad anómala. Este punto ha sido clave en la valoración del organismo, que insiste en que la detección temprana es un elemento esencial para mitigar daños y evitar accesos prolongados.
La AEPD también reprocha a Hyundai el retraso en la comunicación a los afectados. La normativa europea establece que, en caso de brecha de seguridad, las empresas deben informar «sin dilación indebida». Sin embargo, en este caso, la notificación se produjo hasta 45 días después del incidente. La compañía argumentó que necesitaba tiempo para analizar el alcance real de la filtración, pero el regulador considera que la demora incrementó el riesgo para los usuarios, que durante semanas desconocieron que su información personal había quedado expuesta.
En su resolución, la Agencia recuerda que no es necesario que exista un fraude consumado para que se considere que ha habido un daño. La simple pérdida de control sobre los datos personales -es decir, que estos salgan del ámbito de custodia del responsable del tratamiento- constituye ya un perjuicio relevante. Por ello, concluye que Hyundai vulneró el artículo 5.1.f del RGPD, que obliga a garantizar la seguridad, integridad y confidencialidad de la información.
La sanción inicial ascendía a dos millones de euros, pero la compañía se acogió a las reducciones previstas por reconocimiento de responsabilidad y pago voluntario, quedando finalmente en 1,6 millones. Aun así, se trata de una de las multas más significativas impuestas en España en materia de protección de datos, y un recordatorio de que las brechas no siempre se producen mediante ataques sofisticados, sino también por fallos básicos de mantenimiento y supervisión.
¿Y qué se puede hacer para que no sucedan estas cosas?
Incidentes como el sufrido por Hyundai ponen de manifiesto que la seguridad de la información no depende únicamente de grandes inversiones tecnológicas, sino de una combinación de prevención, vigilancia y respuesta. Una de las primeras medidas esenciales es mantener todos los sistemas actualizados. La mayoría de ataques exitosos se apoyan en vulnerabilidades conocidas -y ya parcheadas por los fabricantes- que permanecen sin corregir en los servidores de las empresas. Un programa de gestión de parches riguroso reduce de manera considerable este riesgo.
La monitorización continua es otro pilar fundamental. Contar con sistemas capaces de detectar comportamientos anómalos -como accesos inusuales, transferencias masivas de datos o actividad fuera de horario- permite reaccionar antes de que un atacante complete su objetivo. Estas herramientas, combinadas con alertas automatizadas y análisis en tiempo real, pueden marcar la diferencia entre un incidente menor y una filtración masiva.
El cifrado debe aplicarse no solo cuando los datos están almacenados, sino también durante cualquier proceso de transferencia o tratamiento. Muchas brechas se producen precisamente en esos momentos intermedios, cuando la información queda temporalmente expuesta. Implementar cifrado extremo a extremo y segmentar las bases de datos ayuda a limitar el impacto en caso de intrusión.
Finalmente, la formación del personal es clave. Los empleados deben conocer los riesgos, saber identificar señales de alerta y comprender la importancia de seguir los protocolos internos. En este sentido, cabe recordar la labor de empresas como Grupo CYBENTIA, con su Área de Formación dirigida por Jonay Peñate, que ofrece formaciones que vinculan la ciberseguridad con la automoción/movilidad.
