E-02658-2019

1/9 Procedimiento Nº: E/02658/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 1 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar las presentes actuaciones de investigación en relación a la notificación recibida en la Unidad Tecnológica de esta Agencia de una brecha de seguridad relativa al acceso no autorizado de datos de menores en la COOPERATIVA DE ENSEÑANZA COLEGIO VIZCAYA (en adelante, Colegio Vizcaya) SEGUNDO: Las comunicaciones previas al inicio de actuaciones son las siguientes: Con fecha 29 de enero de 2019, se recibe notificación en la Unidad Tecnológica de esta Agencia de una posible brecha de seguridad manifestando que al acceder a la página web del Colegio Vizcaya se observa que ésta devuelve un error. Tras confirmar con la empresa de hosting que no hay ningún problema en los servidores, observamos que todo el contenido del ftp de la página web ha sido eliminado. Analizando los logs del servidor se observa un acceso desde la ip ***IP.1 desde las 7:09 am del día 26 de enero de 2019 hasta las 09:40 del mismo día que realizó el borrado de todo el contenido de la carpeta de la página web. No hay evidencias de que el ataque haya podido afectar a la base de datos de la página web, lugar donde están alojados los datos personales de los usuarios. Y anexa la siguiente documentación:  Denuncia ante la ***REFERENCIA.1 Ertzaintza, Erandio Comisaria con referencia Con fecha 6 de febrero de 2019, se recibe en esta Agencia, justificante de brecha de seguridad en el que el Colegio Vizcaya añadiendo que realizado un análisis en profundidad de los ficheros de registro de acceso, han encontrado evidencias claras de que el atacante ha podido acceder a la tabla de usuarios de la base de datos de la página web y añaden que se han aplicado medidas para incrementar la seguridad de la página web y del acceso al FTP. Y anexa la siguiente documentación:  Circular remitida a las familias de los alumnos del centro educativo en la que informan, entre otros aspectos, que únicamente han accedido a datos concernientes a la persona que tiene creada la cuenta en la Extranet y nunca a sus familiares. Especifican que los datos comprometidos son: o C/ Jorge Juan, 6 28001 – Madrid Nombre y apellidos www.aepd.es sedeagpd.gob.es 2/9 o DNI o Nº de socio de la cooperativa o Dirección de correo electrónico o Contraseña de acceso a la extranet (se encuentra almacenada de manera cifrada) Se hace hincapié en que no se ha accedido a datos del alumnado. Se indica el procedimiento para el cambio de contraseñas (recomendado por el centro) a través del sitio web del Colegio Vizcaya.  Ampliación de la denuncia presentada originalmente ante la Ertzaintza manifestando que, tras analizar los registros en profundidad, se tiene constancia de que los atacantes han accedido a la tabla de usuarios (padres y empleados). En esta ampliación se especifican también los datos accedidos reseñados en la circular enviada a los padres o tutores. TERCERO: A la vista de los hechos comunicados, en fase de actuaciones previas, por los servicios de Inspección de la Agencia se solicita información acerca de la brecha de seguridad informada, teniendo conocimiento de lo siguiente:  Cronología El día 26 de enero de 2019, el sitio web del centro devuelve estado de error indicando que no puede mostrar el contenido. El lunes 28 de enero de 2019, la empresa de hosting responde que el servidor funciona correctamente y que han sufrido un ataque mediante la técnica de “inyección SQL”. El mismo lunes 28 de enero de 2019, se restablece el sistema recuperando una copia de respaldo. El martes 29 de enero, se solicitan los registros del servidor a la empresa de hosting y se cursa denuncia ante la Ertzaintza. Tras realizar la denuncia, se notifica una brecha de seguridad a la AEPD, adjuntando la propia denuncia e indicando que no hay evidencias de que haya ocurrido un acceso a los datos personales de la Web. Durante los días 29, 30, 31 de enero y 1 de febrero de 2019, se aplican correcciones al código fuente de la página Web para evitar nuevos ataques por “inyección SQL”. Al mismo tiempo que se continúa analizando los registros aportados por la empresa de hosting (accesos a la página del día 26 y accesos al ftp de los días 26, 27 y 28 de enero). Para verificar la efectividad de las medidas aplicadas al código fuente se utilizaron herramientas online “Pentest” y se aplicaron las recomendaciones emitidas por éstas. El día 1 de febrero de 2019, tras el análisis de los logs aportados por la empresa de hosting, se llega a la conclusión de que el ataque realizado ha conseguido llegar a la tabla de usuarios de la BBDD y se ha logrado descifrar una contraseña de uno de los usuarios con privilegios de administración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 El día 5 de febrero de 2019, se interpone ampliación de la denuncia inicial ante la Ertzaintza, se realiza la comunicación a los usuarios afectados y seguidamente se realiza una ampliación de la brecha de seguridad ante la AEPD, adjuntado tanto la ampliación de la denuncia como la comunicación a los interesados. Adicionalmente y para dotarnos de mayores garantías en la resolución de la incidencia, el lunes 11 de febrero de 2019, se contrató con la empresa Prosegur Ciberseguridad la realización de un análisis de vulnerabilidades de la página Web con el objetivo de identificar vulnerabilidades que se hubiesen pasado por alto a las herramientas online. El viernes 15 de febrero, Prosegur Ciberseguridad remitió el informe de actuación, reflejando una incidencia clasificada como crítica, dos medias y tres bajas. Todas ellas fueron resueltas a lo largo de la segunda quincena del mes de febrero.  La ejecución del ataque fue posible debido a la existencia de variables desprotegidas en el código fuente de la página Web a las que era posible aplicar técnicas de hackeo por inyección de SQL.  Los datos a los que han tenido acceso únicamente son concernientes a la persona que tiene creada la cuenta en la Extranet y nunca a sus familiares. Los datos accedidos son los siguientes: Nombre y apellidos, DNI, Nº de socio de la cooperativa, Dirección de correo electrónico, Contraseña de acceso a la extranet (almacenada de manera cifrada) El ataque únicamente se ha dirigido a la página Web del colegio, por lo que todo lo almacenado en la plataforma de Gestión Académica no se ha visto afectado. Por ello, los atacantes NO han obtenido ningún tipo de información relativa al alumnado. El número de individuos afectados es de

1.  Análisis de riesgos: el tratamiento de datos personales a través de la página Web corporativa comenzó en el año
2. Aun así, tras la entrada en vigor del RGPD se realizó el correspondiente análisis de riesgos, estableciendo un riesgo bajo y despreciable, totalmente asumible, dada la necesidad de realización del tratamiento.  En cuanto a las medidas adoptadas para evitar incidencias similares en el futuro, informan de las siguientes acciones:
3. Cambiar las contraseñas de todos los usuarios que tengan permisos de edición en la página Web.
4. Proteger el código fuente para impedir los ataques por inyección de SQL.
5. Notificar a los usuarios, recomendándoles el cambio de contraseña.
6. Utilizar herramientas para validar la efectividad de las correcciones aplicadas.
7. Aplicar cifrado por TLS al acceso del FTP.
8. Instalar un certificado SSL para proteger el tráfico de datos entre el cliente y el servidor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9
9. Realizar un Ciberseguridad. test de vulnerabilidades con la empresa Prosegur
10. Crear un nuevo usuario de acceso a la BBDD con permisos limitados.
11. Restringir el acceso al FTP a la dirección IP del colegio.
12. Configurar conexiones VPN para la administración de la página Web desde el exterior del colegio en caso necesario.  Indican que, a día de hoy, no tienen conocimiento de uso de los datos obtenidos en el ataque por parte de terceros.  Terminan indicando que, con respecto a la actuación policial, desde la fecha de ampliación de la denuncia no se ha realizado ninguna gestión adicional y tampoco se ha recibido ningún requerimiento por parte de la Ertzaintza. Y adjuntan la comunicación enviada a los familiares que se ya se presentó en esta Agencia en su escrito 6 de febrero de
13. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define las quiebras de seguridad de los datos personales como aquellos incidentes que ocasionan la destrucción, pérdida o alteración accidental o ilícita de datos personales, así como la comunicación o acceso no autorizado a los mismos. Desde el pasado 25/05/2018, la obligación de notificar a la Agencia las brechas o quiebras de seguridad que pudiesen afectar a datos personales es aplicable a cualquier responsable de un tratamiento de datos personales, lo que subraya la importancia de que todas las entidades conozcan cómo gestionarlas. Por consiguiente, tan pronto como el responsable del tratamiento tenga conocimiento de que se ha producido una violación de la seguridad de los datos personales en el sentido señalado en el artículo 32 del RGPD debe, sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, notificar la violación de la seguridad de los datos personales a la autoridad de control competente, a menos que el responsable pueda demostrar, atendiendo al principio de responsabilidad proactiva, la improbabilidad de que la violación de la seguridad de los datos personales entrañe un riesgo para los derechos y las libertades de las personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 El responsable del tratamiento debe comunicar al interesado sin dilación indebida la violación de la seguridad de los datos personales en caso de que puede entrañar un alto riesgo para sus derechos y libertades, y permitirle tomar las precauciones necesarias. La comunicación debe describir la naturaleza de la violación de la seguridad de los datos personales y las recomendaciones para que la persona física afectada mitigue los potenciales efectos adversos resultantes de la violación. Dichas comunicaciones a los interesados deben realizarse tan pronto como sea razonablemente posible y en estrecha cooperación con la autoridad de control, siguiendo sus orientaciones o las de otras autoridades competentes, como las autoridades policiales. Así, por ejemplo, la necesidad de mitigar un riesgo de daños y perjuicios inmediatos justificaría una rápida comunicación con los interesados, mientras que cabe justificar que la comunicación lleve más tiempo por la necesidad de aplicar medidas adecuadas para impedir violaciones de la seguridad de los datos personales continúas o similares. También hay que señalar, que la notificación de una quiebra de seguridad no implica la imposición de una sanción de forma directa, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. La seguridad de los datos personales viene regulada en los artículos 32, 33 y 34 del RGPD. En concreto el artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “
14. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
15. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
16. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
17. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. En el artículo 33 del RGPD establece la forma en que ha de notificarse una violación de la seguridad de los datos personales a la autoridad de control, determinando lo siguiente: “
18. En caso de violación de la seguridad de los datos personales, el responsable del tratamiento la notificará a la autoridad de control competente de conformidad con el artículo 55 sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Si la notificación a la autoridad de control no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.
19. El encargado del tratamiento notificará sin dilación indebida al responsable del tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento.
20. La notificación contemplada en el apartado 1 deberá, como mínimo: a) describir la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados; b) comunicar el nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información; c) describir las posibles consecuencias de la violación de la seguridad de los datos personales; d) describir las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
21. Si no fuera posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
22. El responsable del tratamiento documentará cualquier violación de la seguridad de los datos personales, incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas adoptadas. Dicha documentación permitirá a la autoridad de control verificar el cumplimiento de lo dispuesto en el presente artículo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Y el artículo 34 del Reglamento mencionado indica cuando es necesario informar de una violación de la seguridad de los datos personales al interesado, señalando lo siguiente: “
23. Cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida.
24. La comunicación al interesado contemplada en el apartado 1 del presente artículo describirá en un lenguaje claro y sencillo la naturaleza de la violación de la seguridad de los datos personales y contendrá como mínimo la información y las medidas a que se refiere el artículo 33, apartado 3, letras b), c) y d).
25. La comunicación al interesado a que se refiere el apartado 1 no será necesaria si se cumple alguna de las condiciones siguientes: a) el responsable del tratamiento ha adoptado medidas de protección técnicas y organizativas apropiadas y estas medidas se han aplicado a los datos personales afectados por la violación de la seguridad de los datos personales, en particular aquellas que hagan ininteligibles los datos personales para cualquier persona que no esté autorizada a acceder a ellos, como el cifrado; b) el responsable del tratamiento ha tomado medidas ulteriores que garanticen que ya no exista la probabilidad de que se concretice el alto riesgo para los derechos y libertades del interesado a que se refiere el apartado 1; c) suponga un esfuerzo desproporcionado. En este caso, se optará en su lugar por una comunicación pública o una medida semejante por la que se informe de manera igualmente efectiva a los interesados.
26. Cuando el responsable todavía no haya comunicado al interesado la violación de la seguridad de los datos personales, la autoridad de control, una vez considerada la probabilidad de que tal violación entrañe un alto riesgo, podrá exigirle que lo haga o podrá decidir que se cumple alguna de las condiciones mencionadas en el apartado 3.” En este mismo sentido se señala en los Considerandos 85 y 86 del RGPD: