¿Qué ocurrió exactamente en el ciberataque a Naturgy?
A principios de mayo de 2026, Naturgy, una de las compañías energéticas más grandes de España, detectó un acceso no autorizado a una base de datos gestionada por uno de sus proveedores de servicios tecnológicos. El incidente comprometió información personal de aproximadamente 200.000 clientes, el equivalente al 3% de su base de clientes en España. Entre los datos expuestos se encuentran:
- Nombre completo y apellidos
- DNI o NIF
- Dirección de correo electrónico
- Números de cuenta bancaria
- Dirección postal
- Información contractual, incluido el CUPS (Código Unificado de Punto de Suministro)
Naturgy confirmó que el ataque no afectó a contraseñas ni a las credenciales del Área de Cliente, ni se originó en sus propios sistemas internos. Sin embargo, la exposición de datos bancarios y del DNI convierte este incidente en un riesgo real de phishing, suplantación de identidad y fraudes financieros para los afectados. Según la cobertura de EscudoDigital, la compañía notificó el incidente a la Agencia Española de Protección de Datos (AEPD) dentro del plazo de 72 horas que exige el RGPD, y activó canales de comunicación directa para alertar a los clientes potencialmente afectados.
Este cumplimiento del protocolo de notificación es un factor que la AEPD valora positivamente a la hora de evaluar posibles sanciones. Aun así, el incidente deja una pregunta sin respuesta: ¿por qué los datos de 200.000 personas estaban al alcance de un proveedor externo sin las salvaguardas suficientes?
El actor de amenaza detrás del ataque
El ataque ha sido reivindicado en foros de ciberdelincuencia por un actor de amenaza que se identifica como ‘Spain’, quien asegura haber exfiltrado más de 74 GB de datos de Naturgy. Este tipo de actores suele poner a la venta los datos robados en mercados ilegales de la dark web, lo que multiplica el riesgo de fraude para los afectados más allá del incidente inicial.
El eslabón más débil: por qué los proveedores externos son el mayor vector de riesgo
El caso de Naturgy ilustra con precisión una de las tendencias más preocupantes en ciberseguridad: los ataques a la cadena de suministro digital. Los atacantes no necesitan superar las defensas de una gran empresa si pueden acceder a sus datos a través de un proveedor con medidas de seguridad menos robustas pero con acceso legítimo a la información.
Este tipo de ataque es especialmente peligroso por varios motivos:
- El acceso parece legítimo: el proveedor tiene autorización para tratar los datos, por lo que el acceso inicial no activa alertas de inmediato.
- La superficie de ataque es enorme: las grandes empresas tienen decenas o cientos de proveedores tecnológicos, cada uno con acceso a diferentes capas de datos.
- Los sistemas del proveedor raramente se auditan con el mismo rigor que los de la empresa principal, lo que los convierte en el eslabón más débil de la cadena.
- La responsabilidad legal recae sobre la empresa contratante: aunque el fallo sea del proveedor, el responsable ante los afectados y la AEPD sigue siendo quien contrató el servicio.
Según la información publicada por Euronews en español, la filtración en Naturgy no se produjo en los servidores de la energética, sino en la infraestructura de uno de sus proveedores de servicios. Este matiz es fundamental: implica que Naturgy, como responsable del tratamiento, tenía la obligación de garantizar que ese proveedor cumplía con las exigencias del RGPD en materia de seguridad. Y, al menos en parte, esa garantía falló.
Para cualquier empresa española que trabaje con proveedores externos que manejen datos de clientes —plataformas CRM, herramientas de marketing, empresas de logística, gestorías, soporte técnico— la lección es clara: la seguridad de tus datos depende también de la seguridad de quienes los tratan en tu nombre. Si necesitas revisar qué proveedores tienen acceso a los datos de tu empresa y si cumplen la normativa, nuestros servicios de protección de datos pueden ayudarte a realizar esa auditoría.
Qué dice el RGPD sobre brechas de datos y responsabilidad de proveedores
El Reglamento General de Protección de Datos establece un marco legal claro que afecta tanto al responsable del tratamiento (la empresa contratante) como al encargado del tratamiento (el proveedor). Conocer estos artículos es esencial para entender las obligaciones que tiene cualquier organización española.
Artículo 28: El contrato obligatorio con el proveedor
Toda empresa que contrate a un proveedor para tratar datos personales en su nombre debe formalizar con él un contrato de encargo del tratamiento. Este documento es obligatorio y debe incluir, como mínimo, la finalidad y duración del tratamiento, el tipo de datos involucrados, las medidas de seguridad que el proveedor se compromete a aplicar, y la prohibición de subcontratar sin autorización. Sin este contrato, ambas partes incurren en una infracción del RGPD.
Artículo 32: Medidas de seguridad técnicas y organizativas
El artículo 32 obliga tanto al responsable como al encargado del tratamiento a aplicar medidas de seguridad adecuadas al nivel de riesgo que implica el tratamiento de los datos. Esto incluye el cifrado de datos, la garantía de confidencialidad e integridad de los sistemas de tratamiento, la capacidad de restaurar el acceso a los datos tras un incidente, y procedimientos de verificación y evaluación periódica de esas medidas.
Artículo 33: Notificación a la AEPD en menos de 72 horas
Este es el artículo más conocido en el contexto de los incidentes de seguridad. Establece que, cuando se produce una brecha de datos que entraña un riesgo para los derechos y libertades de las personas, el responsable del tratamiento debe notificarla a la AEPD sin dilación indebida y, a ser posible, en un plazo máximo de 72 horas desde que tiene conocimiento del incidente. La AEPD dispone de un canal específico para estas notificaciones y recomienda hacerlo aunque no se tenga toda la información disponible en ese momento, completando la notificación posteriormente.
Sanciones potenciales: hasta el 4% de la facturación global
El incumplimiento de las obligaciones de seguridad puede acarrear multas de hasta 10 millones de euros o el 2% de la facturación global anual para infracciones relacionadas con los artículos 32 a 34. Para infracciones más graves —como la ausencia total del contrato de encargo del tratamiento o el incumplimiento de los principios básicos del RGPD— las sanciones pueden alcanzar los 20 millones de euros o el 4% de la facturación global. Con unos ingresos anuales superiores a los 22.000 millones de euros, el techo teórico para Naturgy en el peor escenario sería de más de 880 millones de euros. La sanción real, si la hubiera, dependerá de factores como la diligencia previa demostrada, la rapidez de la respuesta y los antecedentes de la compañía.
Qué deben hacer las empresas españolas para evitar una brecha como la de Naturgy
El incidente de Naturgy es una llamada de atención para todas las organizaciones que trabajan con proveedores externos que manejan datos de clientes o empleados. A continuación detallamos las medidas concretas que cualquier empresa española debería implementar.
1. Identificar y clasificar todos los proveedores que traten datos personales
El primer paso es elaborar un inventario completo de todos los proveedores externos que, de forma directa o indirecta, tienen acceso a datos personales. Muchas empresas se sorprenden al descubrir el número de terceros implicados: plataformas de email marketing, herramientas de análisis web, software de facturación, empresas de mensajería, gestorías y un largo etcétera. Sin este mapa inicial, es imposible gestionar el riesgo de forma efectiva.
2. Formalizar contratos de encargo del tratamiento actualizados
Una vez identificados los proveedores relevantes, debe verificarse que existe un contrato de encargo del tratamiento firmado y vigente con cada uno de ellos. Los contratos genéricos o desactualizados no cumplen con las exigencias del RGPD. Si un proveedor se niega a firmar este contrato o a comprometerse con garantías mínimas de seguridad, eso es, por sí solo, un motivo para reconsiderar la relación comercial.
3. Exigir y verificar las garantías de seguridad del proveedor
Firmar el contrato es necesario, pero no suficiente. Es preciso verificar que el proveedor realmente aplica las medidas comprometidas. Esto puede hacerse solicitando certificaciones de seguridad reconocidas (como ISO 27001 o el Esquema Nacional de Seguridad), revisando sus políticas de seguridad de la información, o exigiendo los resultados de auditorías externas recientes.
4. Establecer un protocolo interno de respuesta a brechas de seguridad
Si mañana uno de tus proveedores sufriera un incidente similar al de Naturgy, ¿sabría tu empresa qué hacer en las siguientes 72 horas? Es imprescindible disponer de un procedimiento interno documentado que defina claramente quién es el responsable de tomar decisiones, qué información debe recabarse, cómo evaluar el riesgo para los afectados y cómo proceder con la notificación a la AEPD y, si es necesario, a los propios afectados.
5. Revisar periódicamente la situación de cumplimiento de los proveedores
La seguridad de un proveedor no es estática. Un proveedor que cumplía todos los requisitos hace dos años puede haber modificado sus sistemas, reducido su equipo de seguridad o ampliado sus servicios sin actualizar sus garantías. La revisión periódica de la relación con los encargados del tratamiento es una obligación de diligencia activa bajo el RGPD.
Preguntas frecuentes sobre brechas de datos y responsabilidad de proveedores
¿Si la brecha ocurre en los sistemas de un proveedor, mi empresa sigue siendo responsable ante la AEPD?
Sí. Aunque el ataque se produzca en la infraestructura de un proveedor, el responsable del tratamiento —tu empresa— sigue obligado a notificar el incidente a la AEPD en el plazo de 72 horas y a informar a los afectados si existe un riesgo elevado para sus derechos. La externalización del tratamiento de datos no exime de responsabilidad: simplemente traslada parte de la gestión operativa, no la responsabilidad legal.
¿Qué debe incluir obligatoriamente el contrato con un proveedor que trata datos personales?
Según el artículo 28 del RGPD, el contrato debe especificar el objeto, la duración y la naturaleza del tratamiento; el tipo de datos y categorías de interesados; las instrucciones del responsable al encargado; las obligaciones de seguridad; la prohibición de subcontratar sin autorización previa; y el destino de los datos al finalizar el contrato (devolución o destrucción certificada).
¿Cuánto tiempo tengo para notificar una brecha de datos a la AEPD?
El RGPD establece un plazo máximo de 72 horas desde el momento en que la empresa tiene conocimiento del incidente. Si en ese momento no se dispone de toda la información, la notificación puede realizarse de forma provisional e ir completándose a medida que avanza la investigación. Lo importante es no esperar: la notificación tardía es en sí misma una infracción adicional.
¿Qué riesgos corren los clientes cuyos datos han sido expuestos en una brecha como la de Naturgy?
Cuando se exponen datos como el DNI, la dirección de email y la información bancaria, los riesgos más inmediatos son el phishing (emails o llamadas fraudulentas que suplantan la identidad de la empresa), la suplantación de identidad para contratar servicios o créditos, y los intentos de acceso no autorizado a cuentas vinculadas al correo electrónico comprometido. Por eso es fundamental que las empresas activen canales de comunicación claros y rápidos con los afectados.
¿Cómo puedo saber si mis proveedores están cumpliendo realmente con el RGPD?
La mejor forma de verificarlo es mediante una auditoría de proveedores de datos, que incluya la revisión de los contratos de encargo del tratamiento, la validación de las medidas de seguridad aplicadas y una evaluación del riesgo de cada proveedor en función del tipo de datos que maneja. Este proceso es también una exigencia implícita del artículo 32 del RGPD, que habla de evaluación y verificación periódica de las medidas de seguridad.
Conclusión: la protección de datos de tus clientes empieza por tus proveedores
El ciberataque a Naturgy que expuso los datos de 200.000 clientes en mayo de 2026 es mucho más que la historia de una gran energética: es un recordatorio de que en el ecosistema digital actual, la cadena es tan fuerte como su eslabón más débil. Las obligaciones del RGPD no se detienen en la puerta de tu empresa; se extienden a todos los proveedores que tratan datos en tu nombre. Ignorar este principio no solo supone un riesgo para tus clientes, sino también para la reputación y la continuidad de tu negocio. Si necesitas revisar el cumplimiento de tu empresa en materia de protección de datos y gestión de proveedores, contacta con DataIbérica. Nuestro equipo de expertos te ayudará a identificar vulnerabilidades, formalizar los contratos necesarios y establecer un sistema de cumplimiento robusto adaptado a tu realidad empresarial.
