E-00921-2016

1/6 Expediente Nº: E/00921/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SLEEP AND GO, S.L. en virtud de denuncia presentada por DÑA. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En fecha 2 de febrero de 2016, tuvo entrada en la Agencia una notificación de quiebra de seguridad realizada por la entidad SLEEP AND GO, S.L. (en lo sucesivo SLEEP AND GO), detectada en la misma fecha por un departamento interno de la misma, la cual supuso la quiebra de la confidencialidad de datos de tipo financiero (acceso no autorizado). Como medidas preventivas, informa SLEEP AND GO que está en fase de aplicación de normativa PCI DSS, por lo que ya tenía implantadas una serie de medidas, como el cifrado de los datos, entorno separado con Firewall y no accesible desde el exterior, escaneos de red preventivos por proveedor certificado (las normas PCI DSS son unas normas de seguridad de la información destinadas a proteger los datos de los titulares de las tarjetas bancarias). Como medidas reactivas, tras detectar que hay software malicioso en el servidor de base de datos en el cual se almacenan los datos de las tarjetas de crédito, se procedió a la parada y migración de los datos a otro servidor no infectado. Además, se advirtió que en el momento del informe de la quiebra se estaba realizando un análisis forense sobre lo ocurrido en ese servidor. SEGUNDO: Con fecha 17 de febrero de 2016, tuvo entrada en esta Agencia escrito de DÑA. A.A.A. (en lo sucesivo la denunciante) en el que denuncia a la entidad SLEEP AND GO (titular de la web www.fnsrooms.com). En dicho escrito pone de manifiesto los hechos siguientes: <<Quiero manifestar mi denuncia hacía la empresa FNS Rooms, por vulnerar el derecho de no proteger mi tarjeta bancaria. El pasado día 3 de Febrero recibí una notificación de la empresa FNS Rooms indicando que unos hackers habían accedido a los datos bancarios de los clientes vulnerando los datos bancarios de los que somos usuarios de la empresa FNS Rooms. Dice así dicha notificación: “Le escribimos para notificarle que hemos detectado un posible ataque en uno de nuestros servidores y es posible que los datos de la tarjeta de crédito estén afectados. … espero que impongan una sanción tanto a las personas involucradas en la comisión del delito, cómo a la empresa correspondiente por “no adaptar las medidas de seguridad oportunas para evitar la alteración, la pérdida o el acceso no autorizado...”. (…) Les dejo copia del mensaje recibido… “Estimado cliente, Somos FNS Rooms, una empresa proveedora de servicios tecnológicos a Hoteles. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Le escribimos para notificarle que hemos detectado un posible ataque en uno de nuestros servidores y es posible que sus datos de tarjeta de crédito estén afectados. Hemos seguido el protocolo recomendado en estos casos denunciando el caso a la Policía, a Visa y Mastercard y a la LOPD pero adicionalmente queremos comunicárselo directamente a los clientes que podrían estar afectados para que tomen las medidas adecuadas. Nuestra recomendación es que como medida de precaución y para evitar el uso indebido de la tarjeta por parte de las personas que han realizado dicho ataque, contacte con el emisor de su tarjeta de crédito y solicite la anulación de la misma y el cambio por una nueva>>. TERCERO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, durante las cuales SLEEP AND GO facilitó una copia del informe forense realizado como consecuencia de la brecha detectada, el mismo que fue remitido por dicha entidad a la Guardia Civil, según indicación de la misma. De este informe se desprende lo siguiente: En fecha 02/02/2016, en una de las revisiones de seguridad rutinarias, se detectó una anomalía en unos archivos que procesaban los datos de las tarjetas con carácter previo a su cifrado y almacenamiento en la base de datos. Los datos eran almacenados en una imagen en formato JPG para su posterior extracción vía http. El hecho fue calificado por la entidad como de criticidad alta. La detección se realizó al comparar el software instalado en el servidor con la copia instalada en el repositorio. Examinado el archivo modificado, se detectó que había sido insertada una función que realiza el siguiente proceso: antes del procesamiento de las tarjetas y almacenamiento se copian las mismas, se cifran y se almacenan en un fichero de imagen (formato JPG) accesible vía web para su extracción. Las fechas tanto de modificación del archivo como de la imagen eran alteradas por script dejando la misma fecha que la de la carpeta que lo contenía. De esta forma la modificación pasaba inadvertida. El inicio de la actividad del software dañino fue el 24/01/2016. Una vez limpiados y reinstalados los servidores se procedió a revisar los archivos de imágenes mediante un programa ad hoc. Este programa revisa todas las imágenes del servidor y almacena en un log si detecta algún archivo con cabecera diferente a jpg/gif/png. Al ejecutar dicho programa se encontró que existen archivos php + htacces alterados. El primer tipo son archivos de programa y el segundo son archivos de control de seguridad de acceso. Al acceder al archivo .php los analistas comprobaron que se abre una pantalla a través de la que se puede tomar el control del servidor. Este archivo fue insertado en el servidor de la empresa el 11/09/2015 y creado mediante un acceso desde la extranet, utilizando el usuario y contraseña de un cliente. Informa la entidad que, tras el incidente, se realizaron las siguientes acciones sobre la plataforma:

1. a)Borrar todo el código del servidor atacado y subir de nuevo la copia del repositorio de versiones.
2. b)Sacar el servidor de base de datos de tarjetas de la red para revisar que este no había sido afectado también y se procedió a su reinstalación para asegurar que no había ningún software malicioso.
3. c)Separación del entorno de imágenes.
4. d)Lanzar un programa ad hoc para verificar si había algún archivo en el repositorio de imágenes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 con formato no válido. Para ello se desarrolló un programa que revisaba las cabeceras de las mismas. Este programa fue el que encontró el posible acceso al servidor vía la inserción de código para control del servidor.
5. e)Revisión de todas las funciones de subida de archivo de tal forma que se verifique la cabecera del archivo antes de subir la misma. Por otra parte, la entidad informó haber tomado las siguientes medidas:
6. a)Notificar la quiebra de seguridad a la AEPD.
7. b)Envío de email a los posibles afectados avisando de un posible robo de tarjetas. Inicialmente se estimó unos 4500 afectados aunque finalmente se vio que habían sido 1090.
8. c)Denunciar el incidente ante la Guardia Civil. Adicionalmente, informa la entidad que está en fase de evaluación de sus sistemas de cara al cumplimiento de la norma PCI DSS Nivel 2. Todas las medidas propuestas estaban implantadas al 90% y faltaba un 10% restante que estaba en fase de implantación (medidas menores). Se compromete a obtener la certificación PCI DSS Nivel 1, para lo que está migrando todos los servidores a otro proveedor e implantando nuevas medidas de seguridad, entre las que se encuentra la separación física de entornos para reducir el ámbito PCI y minimizar posible accesos. Entre los datos robados están: nombre, email, teléfono, número de tarjeta, fecha de caducidad y titular>>. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
9. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 9 de la LOPD establece: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” En el Título VIII del Reglamento de desarrollo de la LOPD, aprobado mediante Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Decreto 1720/2007, de 21 de diciembre, se detallan los requisitos de seguridad que han de reunir los ficheros y tratamientos de datos de carácter personal, en función de la tipología de los datos involucrados. SLEEP AND GO, a través de su sitio web, proporciona a establecimientos hoteleros una plataforma para que oferten sus alojamientos y los usuarios puedan realizar reservas, lo que conlleva el tratamiento de datos de la tarjeta de crédito de éstos para formalizar dichas reservas. El sistema de información de SLEEP AND GO disponía de las medidas de seguridad exigidas por los protocolos PCI DSS, como el cifrado de los datos, entorno separado con Firewall y no accesible desde el exterior, escaneos de red preventivos por proveedor certificado, destinadas a proteger los datos de los titulares de las tarjetas bancarias, que han sido calificadas por los Servicios de Inspección de esta Agencia en su Informe de Actuaciones Previas como más exigentes que las establecidas en el Reglamento de desarrollo de la LOPD. Esas medidas incluían el acceso mediante una clave de usuario y contraseña. En el presente caso, de la información aportada por la propia entidad SLEEP AND GO, se acredita que en una de las revisiones de seguridad rutinarias se detectó que un tercero, sirviéndose de la clave de usuario y contraseña de un cliente, introdujo un software malicioso en el servidor de base de datos en el cual se almacenan los datos de las tarjetas de crédito, el cual realizaba el siguiente proceso: antes del procesamiento de las tarjetas y almacenamiento se copian las mismas, se cifran y se almacenan en un fichero de imagen (formato JPG) accesible vía web para su extracción. Los analistas de la entidad comprobaron que este programa permitía tomar el control del servidor. De ello resulta que el acceso a los datos de tarjetas de crédito registrados en los sistemas de información de SLEEP AND GO tuvo lugar como consecuencia de un ataque al mismo, perpetrado por personas con importantes conocimientos técnicos. A este respecto, procede tener en consideración la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de fecha 25 de febrero de 2010 que, en relación con un caso similar al presente, señala lo siguiente: "En el caso de autos, el resultado es consecuencia de una actividad de intrusión, no amparada por el ordenamiento jurídico y en tal sentido ilegal, de un tercero con altos conocimientos técnicos informáticos que rompiendo los sistemas de seguridad establecidos accede a la base de datos de usuarios registrados en www..., descargándose una copia de la misma. Y tales hechos, no pueden imputarse a la entidad recurrente pues, de otra forma, se vulneraría el principio de culpabilidad. El principio de culpabilidad, previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita después de la STC 76/1999, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito del derecho administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1999, de 19 de diciembre (RTC 1991/246), señaló que la culpabilidad constituye un principio básico del Derecho administrativo sancionador. Culpabilidad, que no concurre en la conducta analizada de xxx". No obstante, aunque en la Sentencia no se considera probada una vulneración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 artículo 9 de la LOPD, sí se apreció una conducta infractora por parte del responsable del fichero, en concreto la vulneración del deber de guardar secreto, considerando la tardanza de la entidad responsable en adoptar un comportamiento activo para impedir que se hicieran públicos en internet los datos personales comprometidos. En el presente caso, sin embargo, por la Inspección de Datos no ha logrado acreditarse el incumplimiento de ninguna de las obligaciones previstas en el citado Reglamento. Por otra parte, resulta destacable la diligencia observada por parte de SLEEP AND GO tras detectarse el acceso indebido a la información para eliminar el software malicioso y asegurar la información recabada a través de su plataforma, habiendo informado, además, a esta Agencia, a la Guardia Civil y a los afectados. En consecuencia, de conformidad con la reseñada Sentencia, tampoco procede imputar a la misma una vulneración del artículo 10 de la LOPD. III El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece que “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a SLEEP AND GO, S.L. 3. NOTIFICAR la presente Resolución a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es