E-00177-2021

1/9  Procedimiento Nº: E/00177/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento TELEFÓNICA, S.A. con número de registro de entrada ***REGISTRO.1 relativa a un ciberincidente en el que se exfiltran credenciales de acceso, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Fecha de notificación de la brecha de seguridad de datos personales: ***FECHA.1 ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: TELEFÓNICA, S.A con CIF A28015865 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1.- Con fecha 19 de enero de 2021 se solicitó información a Telefónica SA y de la respuesta recibida se desprende lo siguiente: Respecto de la empresa.  La plataforma atacada y dónde se albergaba la base de datos objeto de la brecha notificada es gestionada por GLOBAL INCUBATOR, S.L. como subencargado del tratamiento, entidad con la cual tiene suscrito un contrato al efecto (anexo 4). En relación con esta contratación se ha aportado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 o “Acuerdo para el tratamiento de datos personales” suscrito entre WAYRA INVESTIGACIÓN Y DESARROLLO, S.L.U. (compañía actualmente denominada TELEFÓNICA OPEN INNOVATION, S.L.U. (“TOI”) y TELEFONICA SA, en el que actúa como encargado del tratamiento en relación con los datos personales objeto de la brecha notificada. En virtud de este acuerdo, se autoriza subcontratar a GLOBAL INCUBATOR, S.L. (en adelante el proveedor) para los servicios de provisión y gestión de la plataforma de convocatorias de innovación abierta de Telefónica, S.A. En este acuerdo figura una relación de las medidas de seguridad implementadas Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final Telefónica S.A (en adelante el investigado) ha aportado copia del informe elaborado y documentación acreditativa disponible en la entidad en relación con la brecha notificada, (Anexo 1) en el que figura:  El ***FECHA.2, el servicio de ciberinteligencia del investigado detecta en un foro de compra, venta e intercambio de información relacionada con actividades de hacking (***URL.1), la publicación de una oferta de venta de una vulnerabilidad SQL que pudiera afectar a la entidad. En ese momento, los servicios de ciberinteligencia y de respuesta a incidentes de seguridad (CSIRT), junto con el área de Sistemas de la Información, ponen inmediatamente en marcha una investigación.  El 25/12/2020 se detecta en el mismo foro la publicación de una oferta de venta de correos y hashes de contraseñas de usuarios del investigado. En dicha publicación no se indica la fuente de los posibles datos que se están poniendo a la venta ni se demuestra su veracidad por lo que se continua con la investigación de un posible incidente.  El ***FECHA.3 se determina la web afectada por una vulnerabilidad que permitiría un ataque de inyección de SQL. La plataforma afectada por el ataque es la utilizada para la gestión de convocatorias de innovación tecnológica, gestionada por el proveedor. Se comunica al proveedor el cual lo resuelve ese mismo día. (Anexo 1.

1. informe del proveedor).  El ***FECHA.1 El CSIRT confirma la notificación al INCIBE (Instituto Nacional de Ciberseguridad), y a la AEPD, y se empieza a notificar el incidente a los interesados afectados con el hash de la contraseña comprometida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Respecto de las causas que hicieron posible la brecha  El investigado manifiesta que durante el año 2020 se realizaron dos auditorías al proveedor incluyendo test de intrusión. La primera de ellas, el 12 de marzo de 2020 no detectó ninguna vulnerabilidad.  El proveedor, tras el ataque, indicó que posterior a la última auditoría, se realizó una actualización con un código inseguro, dejando un script abierto, lo que habilitó una vulnerabilidad a un ataque de inyección SQL. Esta vulnerabilidad fue explotada por el atacante durante el periodo del 22 al 29 de diciembre de 2020, accediendo a los campos de email y contraseñas de la tabla de usuarios. Como información adicional, de los resultados del análisis forense realizado por dicho proveedor, incluido en su informe, se desprende que el primer acceso malicioso que explotaba la vulnerabilidad se produjo el día 22 de diciembre a las 19:22h, continuando los días 22, 24 y 25 de diciembre de
2.  En las comunicaciones posteriores a la brecha, el proveedor informa de que dicha vulnerabilidad estaba presente ya desde el día 27 de abril de 2020, introducida en el sprint de dicha fecha para incluir algunas modificaciones después de las primeras semanas de uso del servicio. El investigado ha aportado contenido de las comunicaciones mantenidas con los encargados del tratamiento para la resolución de la brecha. (anexo 4.3) Respecto de los datos afectados.  El investigado considera que tras el análisis de tráfico realizado se puede concluir que el atacante solo accedió a los campos de correo electrónico y hash de la contraseña, que además coinciden con los campos ofertados por el atacante para la venta.  Han resultado afectados 300.376 interesados de los cuales 4.812 incluia hashes con contraseña real y 295.564 con contraseña señuelo (El campo donde residía el hash de la contraseña era un campo señuelo (fake), diseñado para minimizar el impacto de este tipo de ataques). Hay afectados de: Reino Unido:
3. Alemania: 739, Francia: 136 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9  El investigado ha aportado impresión de pantalla donde figura la publicación de la oferta de venta, en un foro de Internet, de direcciones de correo y hashes de contraseñas de empleados del investigado a través de un enlace que ya no se encuentra disponible. En la impresión de pantalla figuran direcciones de correo del dominio telefónica.com y hashes de contraseñas. Asimismo, manifiesta que el fichero con los datos de correos y hashes de las contraseñas no fue publicado, no obstante no pueden confirmar si se ha producido venta de esta información aunque la utilidad se encuentra en un 1,25% al ser mayoritariamente contraseñas señuelos.  La página de la oferta de venta fue indexada por los buscadores y manifiestan que actualmente ya no se encuentra indexada. Desde la Inspección de Datos y con fecha 10 de mayo de 2021 se accede a la dirección que figura en la impresión de pantalla de la oferta de venta (***URL.2) utilizando el buscador Google sin obtener constancia de la existencia de dicha dirección.  El investigado manifiesta que se ha realizado una valoración del impacto de la brecha para los interesados (Anexo 3.2) y se ha concluido que es necesario remitir una comunicación del incidente a los interesados a los que han podido ser comprometido el correo electrónico y el hash de la contraseña real. Teniendo en cuenta que entre los afectados figuran empleados de la entidad con email corporativo y emprendedores con su email de contacto se han enviado 2 campañas de emails, una para cada tipo de afectados: o Tras eliminar de los 4.812 interesados con hash de contraseña real, aquellos duplicados y correos con formato incorrecto quedaron 4.474 afectados:  2.149 direcciones de empleados de Telefónica, con 205 emails corporativos no funcionales/borrados, quedaron 1.
4.  2.325 emprendedores con email de contacto, con 680 errores (emails eran o incorrectos o ya inexistentes), quedaron 1.
5. En total se remitieron 3.589 emails, de los que han sido recepcionados 3.371, más de la mitad corporativos de la empresa. La entidad ha aportado escritos remitido por mail sobre el incidente para personal externo e interno de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 También se ha aportado escrito de tres afectados solicitando información y en algún caso el borrado de los datos, junto con las contestaciones emitidas por el investigado.  El investigado considera que las consecuencias, en los casos más desfavorables, podrían consistir en el envío de correos publicitarios o campañas de spam o phishing a sus direcciones de correo pero serían muy limitadas ya que eran básicamente cuentas de correo corporativo de la entidad y disponen de mecanismos de doble autenticación y filtrado anti-spam. En relación con los hashes de contraseñas, consideran remota la probabilidad de utilización porque el atacante desconoce cuáles de los hashes son reales (un 1,25% sobre el total) y se resetearon todas las cuentas el día 29 de diciembre de
6. Respecto de las medidas de seguridad implantadas  El investigado ha remitido diversos documentos sobre seguridad en los que figuran las medidas de seguridad implantadas con anterioridad a la brecha, entre ellas (anexo 5): o Registro de Actividad correspondiente a los tratamientos denominados “Convocatorias de innovación abierta (CALLS)” y TOI, ya que ambas son responsables de determinadas convocatorias de innovación lanzadas sobre la plataforma afectada por la brecha. o Análisis de Riesgos (Pre-DPIA) y Evaluación de impacto (DPIA) . o Análisis de impacto en el negocio (BIA) con criterios de impacto en privacidad. o Evaluación de Riegos de Arquitectura de Seguridad (EAS). o Evaluación de Cumplimiento Regulatorio (ECR) y Evaluación de Riesgos de Seguridad (ERS). o Política Global de Seguridad y Normativa Global de Seguridad. Instrucción Global de Medidas de Seguridad aplicables a los Datos de Carácter Personal. o Procedimiento general sobre violaciones de seguridad de los datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 o Informe relativo a las Auditorías Técnicas de Seguridad realizadas en marzo y septiembre de
7. o Acciones correctivas de octubre de 2020 y enero de 2021  Con posterioridad a la brecha, el investigado ha realizado una nueva auditoría de seguridad que se desarrolló entre los días 18 al 29 de enero. Como resultado de estas revisiones, el proveedor ha incorporado la utilización de una herramienta de análisis de código y además ha llevado a cabo una revisión para subsanar todas las posibles vulnerabilidades de inyección de SQL. Respecto de la notificación con posterioridad a las 72 horas. El investigado considera que el servicio de ciberseguridad de la compañía detectó en un foro la publicación de venta de datos que pudieran afectar a la empresa el día 25 de diciembre de 2020 por ese motivo se inició una investigación para confirmar o descartar una posible brecha y, en su caso, descubrir el origen de la misma, que concluyó el día 29 de diciembre de 2020 cuando el servicio de ciberinteligencia logró determinar la web afectada por una vulnerabilidad de inyección de SQL, en una plataforma externa de convocatorias de innovación tecnológica, gestionada por un proveedor externo. El investigado considera que tal y como entiende el extinto Grupo de Trabajo del Artículo 29 (GT29) “debe considerarse que un responsable del tratamiento «tiene constancia» cuando tenga un grado razonable de certeza de que se ha producido un suceso que compromete datos personales.” Por todo lo anterior, el ***FECHA.3 a las 2:16h, se considera como el momento temporal en el que Telefónica tiene “constancia” de la brecha, de acuerdo con el artículo 33.1 RGPD y las Directrices antecitadas, y procede a notificar a la Agencia Española de Protección de Datos el día 31 de diciembre a las 12:21h, transcurridas 58 horas desde la detección de la brecha. Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. El investigado manifiesta no tener constancia de que este tipo de hechos ni eventos análogos se hayan producido anteriormente. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De la documentación aportada por la investigada, entre ella, copia de los RAT de Telefónica S.A. y Telefónica Open Innovation, S.L.U., copia del AR (pre -DPIAs) y de la EIPD (DPIA), así como de la documentación del proceso de gestión integral del riesgo 11cert y copia del Plan de Acciones Correctivas, documento éste, que analiza todos los factores de riesgo identificados en el proceso de gestión integral, para definir una estructura de proyectos y tareas con medidas técnicas encaminadas a la mitigación del riesgo, se desprende que, con anterioridad a producirse la brecha, la entidad investigada disponía de medidas de seguridad razonables en función de los riesgos estimados La detección del incidente se produce tras tener constancia el servicio de ciberinteligencia, de la publicación en un foro el día ***FECHA.2, de una oferta de venta de una vulnerabilidad SQL que puede afectar a la entidad, se pone en marcha una investigación, que el día 25 de diciembre y en el mismo foro, detecta una oferta de venta de correos y hashes de contraseñas de usuarios de la investigada y aunque no se demuestra su veracidad, provoca que continúe la investigación, detectando finalmente, el día 29 de diciembre, en una plataforma externa de convocatorias de innovación tecnológica gestionada por una empresa externa, la web afectada, momento en el cual se tiene constancia de que se ha producido la violación, produciéndose la notificación a la AEPD en el plazo de 58 horas. La brecha fue posible tras realizarse una actualización con un código inseguro, dejando un script abierto, lo que permitió el ataque, hecho que es comunicado al proveedor, resolviéndose en el mismo día. Los datos que se han visto afectados son el correo electrónico y hash de la contraseña, 300.376 interesados de los cuales 4.812 son contraseñas reales y 295.564 son contraseñas señuelo (El campo donde residía el hash de la contraseña era un campo señuelo (fake), diseñado para minimizar el impacto de este tipo de ataques).Asimismo y aunque la oferta de venta fue indexada por los buscadores, actualmente ya no se encuentra indexada, el fichero con los datos de correos y hashes no fue publicado, no obstante no se puede confirmar si se ha producido la venta de esta información, en todo caso la utilidad se encuentra en un 1,25%, al ser mayoritariamente contraseñas señuelos. Se procede a realizar una valoración del impacto de la brecha para los afectados, concluyéndose que es necesario remitirles una comunicación del incidente a los que han podido ver comprometido el correo electrónico y el hash de la contraseña real. Siendo dos los tipos de afectados, empleados de la entidad con email corporativo y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 emprendedores con su email de contacto, realizándose 2 campañas de emails, una para cada tipo de afectado. En total se remitieron 3.589 emails, 1.944 correspondientes a de empleados de Telefónica y 1.645 a emprendedores, de los que han sido recepcionados 3.
8. Para evitar que estos hechos se repitan, la investigada ha realizado una nueva auditoría de seguridad, que se desarrolló entre los días 18 al 29 de enero. Como resultado de estas revisiones, el proveedor ha incorporado la utilización de una herramienta de análisis de código y además ha llevado a cabo una revisión, para subsanar todas las posibles vulnerabilidades de inyección de SQL. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, reflejada en el hecho de la detección del incidente a través de su servicio de ciberinteligencia, produciéndose una diligente reacción al objeto de eliminarla, notificar a la AEPD y al INCIBE así como proceder a la comunicación a los afectados . Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución TELEFÓNICA, S.A con CIF A
9. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es