Imagen generada con IA.
La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 120.000 euros a Décimas, cadena de tiendas de moda deportiva, tras una brecha de seguridad que dejó expuestos los datos personales de más de 331.000 clientes. El incidente, provocado por una vulnerabilidad de inyección SQL en su web corporativa, permitió a los atacantes acceder a nombres, apellidos, correos electrónicos, fechas de nacimiento, género y números de DNI. Pero lo que más ha pesado en la resolución sancionadora no es solo la fuga en sí, sino un dato incómodo para cualquier empresa: Décimas no detectó el ataque por sus propios medios. Fue el Instituto Nacional de Ciberseguridad (INCIBE) quien tuvo que avisarla de que sus datos ya circulaban por la red.
Un fallo técnico «evitable» que llevaba tiempo sin corregirse
El vector de entrada fue una inyección SQL, una de las vulnerabilidades web más antiguas y documentadas que existen: consiste en aprovechar campos de formulario mal validados para colar instrucciones directas contra la base de datos. La AEPD subraya en su expediente que se trata de un fallo «de sobra conocido» y para el que existen medidas de mitigación estándar desde hace más de una década.
Lo revelador es el detalle temporal que recoge la resolución: una vez detectada, la vulnerabilidad se corrigió en cuestión de horas. Para la Agencia, esa rapidez de reparación es precisamente la prueba de que el problema pudo y debió solucionarse mucho antes, y que su persistencia en producción respondía a una falta de revisión periódica del código y de las defensas perimetrales de la aplicación, no a una complejidad técnica insalvable.
La AEPD, la puesta a la venta de los datos y la incapacidad de detectar el ataque en curso
Según la investigación, los atacantes llegaron a poner a la venta en foros de internet la información sustraída durante varias horas antes de que la compañía reaccionara. Ese margen de tiempo es clave: mientras los datos ya estaban circulando y siendo negociados, Décimas seguía sin ser consciente del incidente en su propia infraestructura.
La AEPD concluye en su expediente que la empresa «no descubrió el ataque por sus propios medios», un factor que agrava sustancialmente la valoración de la infracción del principio de integridad y confidencialidad del artículo 5.1.f) del RGPD. No basta con tener una web funcionando con normalidad: el reglamento exige mecanismos activos de monitorización capaces de detectar accesos y comportamientos anómalos en tiempo razonable, y aquí ese sistema, sencillamente, no existía o resultó ineficaz.
Por qué la sanción bajó de 200.000€ a 120.000€: reconocimiento y pago voluntario
La cuantía inicial propuesta por la AEPD ascendía a 200.000 euros. La cifra se redujo un 40%, hasta los 120.000 euros finales, porque Décimas reconoció los hechos y procedió al pago voluntario y anticipado de la sanción, un mecanismo que contempla la Ley 39/2015 del Procedimiento Administrativo Común y que en la práctica sancionadora de la AEPD se traduce en descuentos acumulables de hasta el 40% sobre el importe propuesto.
Esta reducción no es un simple trámite contable: es una decisión estratégica que cualquier empresa sancionada debería valorar con su asesoría legal. Discutir la sanción en vía de recurso puede alargar el procedimiento años y generar intereses, mientras que el reconocimiento temprano cierra el expediente con una rebaja sustancial y evita el desgaste reputacional de un litigio prolongado. Además de la multa, la AEPD ha impuesto a Décimas la obligación de acreditar en un plazo de seis meses que ha reforzado sus medidas de seguridad, un requerimiento correctivo que se suma al componente estrictamente económico de la sanción.
Qué debe aprender cualquier empresa con presencia web de este caso
El caso Décimas no es un incidente aislado ni un problema exclusivo de grandes cadenas: cualquier negocio con una web que gestione formularios, registros de usuario o pasarelas de pago es un objetivo potencial de inyección SQL. Del expediente se extraen varias lecciones prácticas directamente aplicables:
- Auditorías periódicas de seguridad web. Una revisión de vulnerabilidades OWASP (donde la inyección SQL ocupa un lugar destacado desde hace años) debería ser rutina, no un trámite puntual tras el lanzamiento de la web.
- Validación y sanitización de entradas. Toda entrada de usuario que llegue a una consulta de base de datos debe tratarse mediante consultas parametrizadas o preparadas, nunca concatenando texto directamente.
- Sistemas de detección de anomalías (SIEM/IDS). Contar con web con buen rendimiento no es suficiente; hace falta monitorización activa capaz de alertar sobre patrones de acceso o extracción de datos inusuales.
- Plan de respuesta a incidentes documentado. Si el propio INCIBE o un tercero detecta la brecha antes que la empresa, el tiempo de reacción posterior también se valora: tener un protocolo claro de contención y notificación agiliza la respuesta y limita el daño.
- Valorar el reconocimiento y pago voluntario ante una sanción firme. Cuando los hechos son difícilmente rebatibles, acogerse a la reducción del 40% suele ser más beneficioso que prolongar el procedimiento.
La lección de fondo es que el RGPD no solo sanciona que ocurra una brecha, sino la falta de diligencia previa y posterior: no tener corregida una vulnerabilidad conocida, y no ser capaz de detectar que ya te están atacando. Ambas cosas, con las herramientas y protocolos adecuados, son perfectamente evitables.
En Dataibérica ayudamos a empresas y ecommerce a auditar sus sistemas de detección de brechas de seguridad y a implantar protocolos de respuesta ante incidentes conformes al RGPD, para evitar que una vulnerabilidad conocida acabe en una sanción como esta. Si quieres revisar tu caso, contacta con nosotros.
Fuente: EscudoDigital
