Las brechas de datos más grandes de la historia de España
Las grandes empresas españolas también sufren brechas de datos, y casi siempre por motivos que una pyme puede reconocer: un proveedor externo, una contraseña robada o una plataforma sin la protección adecuada. Repasamos siete incidentes públicos, qué comunicaron las propias compañías y qué lección práctica se desprende de cada uno.
Cómo hemos elegido estos casos
Este artículo recoge incidentes reales y públicos de empresas con actividad en España, ordenados cronológicamente. Para cada uno resumimos lo que la empresa comunicó o lo que publicó la prensa, y solo damos un número de afectados cuando una fuente fiable lo recoge. Cuando no hay cifra confirmada, lo decimos. No atribuimos culpas: ninguno de estos casos prueba negligencia por sí mismo, y las investigaciones de cada compañía o de la autoridad pueden haber aportado matices posteriores. Los enlaces a las fuentes están al final.
Lo más útil no es el titular, sino el patrón: aparecen una y otra vez los mismos vectores, y son los que debe vigilar una pyme.
1. I-DE (Iberdrola), marzo de 2022
Qué pasó. Según informó Xataka, la distribuidora I-DE Redes Eléctricas Inteligentes, filial de Iberdrola, comunicó a sus clientes un ciberataque ocurrido el 15 de marzo de 2022. La compañía indicó que no hubo acceso a datos bancarios ni a información de consumo eléctrico, y que los datos expuestos eran de identificación y contacto: nombre y apellidos, DNI, teléfono y correo electrónico.
Afectados. Esa misma fuente cifra el incidente en unos 1,3 millones de clientes.
Lección para una pyme. Que no haya datos bancarios no significa que no haya riesgo. Nombre, DNI, teléfono y correo bastan para montar suplantaciones creíbles, por lo que conviene avisar a clientes y empleados de posibles intentos de phishing posteriores. La compañía ya recomendó en su comunicado desconfiar de mensajes sin remitente claro.
2. Air Europa, octubre de 2023
Qué pasó. Según recogió elDiario.es, la aerolínea avisó por correo a clientes afectados de que habían sido robados datos de la tarjeta usada para pagar en su web (número, fecha de caducidad y CVV) y les pidió solicitar la anulación o sustitución de la tarjeta. La empresa atribuyó el incidente a una alteración fraudulenta del proceso de pago de su web, indicó que la brecha estaba cerrada y que no tenía constancia de uso fraudulento de los datos.
Afectados. En el momento de la noticia, fuentes de la aerolínea no disponían de una cifra; no la damos.
Lección para una pyme. Si vendes online, la página de pago es un objetivo en sí misma. Revisa qué código de terceros se carga en el checkout, delega el cobro en una pasarela certificada y repasa los requisitos de PCI DSS para tiendas online.
3. Banco Santander, mayo de 2024
Qué pasó. El banco comunicó a la CNMV, según recogió Genbeta, un acceso no autorizado a una base de datos alojada en un servidor gestionado por un proveedor externo, con información de clientes de España, Chile y Uruguay y de empleados del grupo. La entidad afirmó que no contenía información transaccional ni credenciales de banca por internet, bloqueó el acceso y notificó a reguladores y fuerzas de seguridad.
Afectados. El banco no concretó una cifra en su comunicado.
Lección para una pyme. Tus datos son tan seguros como el proveedor que los aloja. Exige un contrato de encargado del tratamiento con medidas de seguridad y obligación de avisarte rápido ante un incidente, y pregunta qué datos almacena realmente cada proveedor.
4. Mutua Madrileña, septiembre de 2024
Qué pasó. Según Público, la aseguradora detectó el 23 de septiembre de 2024 un acceso parcial a datos de clientes del ramo de hogar, originado en uno de sus proveedores. Escribió a los clientes afectados, indicó que el problema se había subsanado de inmediato y puso los hechos en conocimiento de las autoridades competentes, entre ellas la AEPD. La compañía afirmó que los datos personales de los clientes no se vieron afectados.
Afectados. No consta una cifra oficial en la fuente consultada.
Lección para una pyme. De nuevo, el origen es un tercero. También es un ejemplo del procedimiento correcto: avisar a los clientes por escrito y notificar a la AEPD. Ten preparado ese circuito antes de necesitarlo, dentro de tu plan de respuesta ante incidentes.
Patrón repetido: en tres de los siete casos (Santander, Mutua Madrileña e Iberia) la propia compañía situó el origen en un proveedor o tercero. La cadena de suministro es hoy uno de los puntos más débiles de la protección de datos, también para las pymes.
5. Telefónica, enero de 2025
Qué pasó. Según Genbeta, que cita información de El País, Telefónica tuvo constancia de un acceso no autorizado a un sistema interno de tickets (Jira). La empresa indicó que bloqueó los accesos y restableció contraseñas de las cuentas afectadas, y que seguía investigando el alcance; señaló además que los clientes residenciales no se habían visto afectados. La publicación de los datos en un foro de ciberdelincuentes y el uso de credenciales online de un empleado son datos que recoge la prensa, no una conclusión confirmada en esa fuente por la compañía.
Afectados. El alcance real no estaba establecido en la fuente consultada, por lo que no damos cifras.
Lección para una pyme. Las herramientas internas (gestores de tareas, de tickets, wikis) acumulan información valiosa y suelen estar menos protegidas que el correo. Activa la autenticación en dos pasos en todas, revoca accesos de antiguos empleados y revisa si hay credenciales de tu empresa circulando.
6. Iberia, noviembre de 2025
Qué pasó. Según RTVC, Iberia comunicó a la UCO, la AEPD e INCIBE un acceso externo no autorizado a un repositorio alojado y administrado por un tercero. La investigación preliminar apuntaba a nombre, correo electrónico, teléfono y número de tarjeta Iberia Club, además de algunos códigos de reserva de vuelos futuros. La aerolínea afirmó que no se obtuvieron datos de pago completos ni claves de acceso y que la seguridad de los vuelos no estaba en riesgo.
Afectados. La fuente no indica cuántos clientes se vieron afectados.
Lección para una pyme. Aunque los datos de pago no estén expuestos, un listado con nombres, teléfonos y reservas es munición para estafas muy personalizadas. Forma a tu equipo para detectar mensajes que parecen legítimos y mantén un canal claro para consultar cualquier duda antes de actuar.
7. Endesa Energía, enero de 2026
Qué pasó. Según CIO, el 13 de enero de 2026 Endesa Energía informó de un acceso no autorizado e ilegítimo a su plataforma comercial. La compañía indicó que bloqueó los usuarios comprometidos, notificó a los clientes afectados y a las autoridades, incluida la AEPD, y que no tenía constancia de uso fraudulento. Los datos a los que pudo acceder el atacante, según la empresa, eran de identificación y contacto, DNI, datos de contrato y posiblemente IBAN; aseguró que no se comprometieron contraseñas.
Afectados. La fuente consultada no recoge una cifra confirmada por la empresa. Circularon cifras atribuidas a los atacantes que no damos por verificadas.
Lección para una pyme. La compañía habló de «usuarios comprometidos»: el acceso a la plataforma se hizo con cuentas legítimas. Aplica el principio de mínimo privilegio, cierra las cuentas que no se usan y activa alertas por accesos inusuales.
Lo que estos siete casos tienen en común
- Terceros y proveedores. Varias compañías situaron el origen del incidente fuera de sus propios sistemas.
- Cuentas legítimas comprometidas. Sin 2FA y sin vigilancia de accesos, una contraseña robada abre la puerta.
- Datos «menores» con gran valor para el fraude. Nombre, DNI, teléfono y correo permiten suplantaciones muy convincentes.
- La comunicación importa. Avisar a tiempo a afectados y a la AEPD reduce el daño y es una obligación legal cuando hay riesgo. Si quieres entender el marco, lee la guía completa de filtraciones de datos y qué ocurre con las multas de la AEPD a pymes.
Checklist rápido para tu empresa
- Haz un inventario de proveedores que tratan datos tuyos y revisa que tengan contrato de encargado del tratamiento.
- Activa el doble factor en correo, CRM, gestor de tareas y paneles de administración.
- Comprueba si hay credenciales de tu dominio en filtraciones conocidas.
- Define quién decide, quién avisa a la AEPD y quién comunica a los afectados.
- Prepara copias de seguridad que puedas restaurar de verdad.
Fuentes
- Xataka, sobre el ciberataque a I-DE (Iberdrola), 31 de marzo de 2022: xataka.com
- elDiario.es, sobre Air Europa, 10 de octubre de 2023: eldiario.es
- Genbeta, sobre el comunicado de Banco Santander, 14 de mayo de 2024: genbeta.com
- Público, sobre Mutua Madrileña, 27 de septiembre de 2024: publico.es
- Genbeta, sobre Telefónica, 16 de enero de 2025: genbeta.com
- RTVC, sobre el comunicado de Iberia, 23 de noviembre de 2025: rtvc.es
- CIO, sobre el comunicado de Endesa Energía, 13 de enero de 2026: cio.com
Este artículo se basa en información publicada por los medios citados y en los comunicados que estos recogen; los datos pueden haber sido actualizados por las compañías o las autoridades con posterioridad.
¿Sabes qué datos de tu empresa ya andan circulando?
Diagnóstico gratuito de exposición: credenciales, dominios y servicios visibles desde fuera.
