E-05998-2020

1/6  Procedimiento N.º: E/05998/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se inician por la recepción de un escrito de notificación de brecha de seguridad de los datos personales remitido por VODAFONE ESPAÑA, S.A.U. (en adelante VODAFONE), en el que informan a la Agencia Española de Protección de Datos que, con fecha 31 de marzo de 2020, se detectan intentos de acceso a la web “MiVodafone.es” por parte de un atacante externo. El análisis realizado determinó que el tráfico eran solicitudes de combinación de nombre de usuario y contraseña (credential stuffing) utilizadas de uno en uno con frecuencia inferior a 50 IP/minuto validando el captcha de forma manual o mediante algún sistema que lo evita. Tras los intentos, el atacante pudo acceder a 563 cuentas de clientes de VODAFONE de un total de 1941 intentos (1691 cuentas únicas), accediendo de la misma manera que lo haría un cliente legítimo. Aportan copia de la notificación realizada a los afectados. VODAFONE realiza esta notificación de brecha como notificación adicional a la de fecha 08/02/2020, que fue investigada en el expediente E/01558/2020, y en la que un atacante externo causó un gran volumen de solicitudes a la App Web “MiVodafone.es”. En el ataque intentaron obtener acceso no autorizado a las cuentas de los usuarios mediante solicitudes de login masivas utilizando una API (APIXOAUTH2PASSWORD) que valida si las credenciales existen. La tasa de fallos en los intentos de acceso a las cuentas fue muy alta, por lo que la hipótesis principal apuntada por VODAFONE fue que las cuentas se obtuvieron de una brecha externa y sin relación directa con Vodafone. SEGUNDO: En fecha 14 de julio de 2020, la Directora de la Agencia Española de Protección de Datos ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos, teniendo conocimiento de los siguientes extremos: ENTIDAD INVESTIGADA: VODAFONE ESPAÑA, S.A.U. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN: 1.- Con fecha 17 de julio de 2020 se solicitó información a VODAFONE y de la respuesta recibida se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Respecto de la brecha de seguridad y los motivos por los cuales VODAFONE la notifica como continuación de la brecha de fecha 08/02/

1. VODAFONE ha manifestado que: “Tras la notificación de la brecha de seguridad en fecha 08/02/2020, los equipos de Vodafone llevaron a cabo una monitorización continua de la actividad en la App Web MiVodafone, durante la cual, detectaron la actividad inusual que se ha reportado a la Agencia con la que se pretendía llevar a cabo el mismo ataque a MiVodafone quebrantando las medidas de seguridad adicionales implementadas tras el ataque notificado el día 08/02/
2. De las investigaciones internas llevadas a cabo, se concluye que el atacante ha empleado el mismo modus operandi para acceder a MiVodafone y con la misma finalidad que la brecha ya reportada en fecha 08/02/2020, llevar a cabo la contratación de servicios de valor añadido. Por lo anterior, nos encontramos ante la misma brecha de seguridad por los siguientes motivos: ambos ataques se han producido en fechas muy cercanas en el tiempo, la tipología de cuentas empleadas son muy similares, las franjas horarias en las que se produjeron son las mismas, la tipología del ataque es la misma (intentos de logados correctos con credenciales de acceso obtenidas fuera de Vodafone) y el beneficio último perseguido es el mismo (obtener cuentas fraudulentas de servicios de valor añadido como Netflix). Por todos los motivos anteriores se ha reportado por Vodafone la información relativa a la actividad inusual del día 31 de marzo como una continuación a la brecha de seguridad notificada el día 08/02/2020, pues Vodafone considera que se trata del mismo atacante que ha intentado un nuevo acceso modulando la velocidad del ataque para saltarse las medidas adicionales de seguridad implementadas tras el primer ataque notificado el 08/02/
3. Como se puede comprobar en la información aportada, los accesos correctos detectados el 31 de marzo fueron muy inferiores en número, lo que evidencia la eficacia de las medidas implementadas. No obstante, durante el análisis y monitorización de la brecha se han implementado nuevas medidas de seguridad adicionales que han incrementado la seguridad en MiVodafone, reduciendo la posibilidad de que un acceso no autorizado, pudiese resultar en la obtención de credenciales fraudulentas de servicios de valor añadido.” Respecto la acreditación del origen de las credenciales de usuario utilizadas por el atacante. VODAFONE indica que siguiendo con las investigaciones y la monitorización del incidente de seguridad comunicado a esta Agencia en fecha 8 de febrero de 2020, el pasado día 31 de marzo se detectó una actividad inusual en los accesos a la desktop de MiVodafone. Manifiestan que consistió en intentos de acceso mediante el uso de conjuntos de credenciales de usuario y contraseña con un origen externo a Vodafone España. El conjunto de credenciales empleadas por el atacante fue utilizado de uno en uno con frecuencia inferior al umbral establecido en el WAF (Cortafuegos), 50 IP/minuto, como medida de seguridad adicional, realizando accesos legítimos en MiVodafone y validando el Captcha implementado, también como medida de seguridad adicional, de forma manual o mediante algún sistema que lo evita, sin que los sistemas de VODAFONE se viesen comprometidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 El método empleado por el atacante consiste en hacer uso de múltiples IPs de origen (utilizando proxys anónimos) y de conjuntos de credenciales extraídas de internet, para realizar un intento de usuario y contraseña por cada registro contra MiVodafone. VODAFONE manifiesta que un porcentaje de las credenciales intentadas, produjeron una validación correcta, por la razón de que algunos usuarios utilizan el mismo conjunto de credenciales en distintos portales online. Este hecho permitió al atacante la validación positiva (login correcto) de 563 cuentas de MiVodafone. VODAFONE aporta como Anexo 1 el fichero con todas las cuentas comprometidas por el atacante. Se verifica que consta de 563 registros de usuarios. Durante la franja horaria del 31 de marzo de 2020, entre las 0:00am y las 11:00am, VODAFONE detectó un incremento de la actividad en su canal de Mi Vodafone Web, en donde se llegó a generar una tasa de accesos fallidos en torno al 40%, valores muy superiores a los que normalmente este canal tiene. Derivado de esta alarma, VODAFONE identificó que había múltiples IPs extranjeras que estaban realizando intentos de acceso a Mi Vodafone, empleando la misma IP para realizar varios intentos de login. Solicitada información y documentación acreditativa sobre los porcentajes de intentos de acceso fallidos (tanto de usuario incorrecto como de contraseña incorrecta) detectados durante el ataque, VODAFONE aporta el Anexo 2 indicando que contiene toda la actividad producida en Mi Vodafone Web, durante la franja horaria indicada anteriormente. En base a esta actividad, y con el conocimiento de los equipos técnicos de Vodafone, se identificaron aquellos accesos susceptibles de ser fraudulentos, usando el criterio de múltiples accesos bajo la misma IP con origen extranjero. Analizada la información aportada por VODAFONE en el referido Anexo 2 se encuentran 6107 registros de accesos que arrojan como resultado (estado) “OK” y 2349 registros con estado “KO”. Algunos registros hasta los 8456 se encuentran con el estado en blanco. Figuran también en los registros la dirección IP de origen del intento de acceso y el código de usuario. VODAFONE ha manifestado que se llegó a producir hasta un porcentaje del 40% de intentos de acceso fallidos, supuestamente incluida la actividad normal de usuarios (legítimos) del portal y en un pico de fallidos. No obstante, de la tabla aportada en el anexo 2 se obtiene un número de intentos exitosos de 6107 sobre 8456, que suponen el 72% dejando por tanto un 28% de intentos de acceso no exitosos. Se hace notar que en el expediente de investigación E/01558/2020 la tasa de acierto en los accesos fue muy diferente: se declaró un porcentaje de intentos de acceso fallidos del 99,97% del total de intentos recibidos. Se acreditó que se utilizó un conjunto aproximado de 12 millones de registros con los cuales el atacante logró validar 3984 cuentas. Medidas de seguridad implementadas con anterioridad a la brecha aplicables a la misma. Información sobre si se han modificado dichas medidas con posterioridad a los hechos. Medidas adicionales adoptadas entre la ocurrencia de la brecha notificada en fecha 08/02/2020 y la actual. A raíz del incidente notificado en fecha 08/02/2020, se reforzaron las medidas de seguridad implementadas en la App Web MiVodafone, estas medidas son: (…) Tras la notificación adicional de la brecha de seguridad el día 07/04/2020, se han mejorado las medidas de seguridad anteriores tal y como se indica a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 (…) Tras los intentos de acceso reportados en la comunicación adicional se implementó como mejora a las medidas de seguridad ya indicadas una nueva versión de (…). Con relación a las reglas de monitorización y alertas implementadas tras la detección de la brecha notificada el 08/02/2020, se han implementado nuevas reglas: (…) Respecto de los datos afectados. Datos básicos relacionados con los datos del cliente: Dirección de email, ID de usuario, número de teléfono fijo, número de teléfono móvil, número de cuenta ID Fibra, número de cuenta ID TV, DNI. Número final de afectados detectados: 563 Notificación a los afectados. VODAFONE indica que tras las primeras investigaciones llevadas a cabo sobre el incidente se realizó una comunicación a todos los usuarios afectados, a través de un SMS directo a los afectados, informando sobre la necesidad de restablecer sus contraseñas. Asimismo, se decidió enviar una comunicación adicional otorgando más información a los clientes a través de una notificación en la aplicación de MiVodafone. Adjuntan copia de una notificación remitida. Utilizaciones posteriores de los datos de los afectados. VODAFONE manifiesta que, a raíz de las investigaciones posteriores realizadas, los equipos de monitorización locales y de global detectaron actividades anormales en las activaciones de servicios de valor añadido, en este caso, cuentas de Netflix. De las investigaciones llevadas a cabo sobre las activaciones, creemos que existe la probabilidad de que un porcentaje se produjesen por el atacante. Dadas las sospechas, se llevó a cabo la gestión de la suspensión de dichas cuentas de Netflix con el fin de evitar cualquier tipo de fraude que se pudiese llevar a cabo. Medidas de minimización del impacto de la brecha (…) Respecto de las medidas implementadas con posterioridad la brecha y las acciones tomadas para la resolución final de la brecha (…) Los representantes de VODAFONE manifiestan que una vez implementadas estas medidas no se ha detectado nueva actividad anómala en los sistemas. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Directora de la Agencia Española de Protección de Datos. II El artículo 4 del RGPD, en su apartado 12, establece que a efectos del presente Reglamento se entenderá por «violación de la seguridad de los datos personales»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de confidencialidad, como consecuencia de un acceso fraudulento por parte de un atacante externo, consistente en intentos de acceso mediante el uso de conjuntos de credenciales de usuario y contraseña, superando las medidas de seguridad implementadas. En el presente caso, tras el requerimiento de información llevado a cabo por la inspección de esta AEPD, la entidad investigada ha informado de las investigaciones internas realizadas y del resultado de estas. De las actuaciones de investigación se desprende que, con anterioridad a la brecha de seguridad, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados, pero, sin embargo, se produjo la incidencia ahora analizada. Un porcentaje de las credenciales intentadas produjeron una validación correcta, por la razón de que algunos usuarios utilizaban el mismo conjunto de credenciales en distintos portales online. Este hecho permitió al atacante la validación positiva de 563 cuentas. Asimismo, contaba con protocolos de actuación para afrontar un incidente como el ahora analizado, lo que ha permitido de forma diligente la identificación, análisis y clasificación de la brecha de seguridad de datos personales así como la diligente reacción ante la misma al objeto de minimizar el impacto e implementar nuevas medias razonables y oportunas para evitar que se repita la incidencia en el futuro a través de la puesta en marcha y ejecución efectiva de un plan de actuación por las distintas figuras implicadas como son el responsable del tratamiento y el Delegado de Protección de Datos. Se debe destacar la rápida actuación de la entidad desde el mismo momento en que tuvo conocimiento de los hechos, interviniendo de forma activa en su resolución, minimizando los posibles efectos perniciosos del incidente. No constan reclamaciones ante esta Agencia por parte de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 En consecuencia, se debe concluir que la entidad investigada disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia y que al resultar insuficientes han sido actualizadas de forma diligente. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III A la vista de las actuaciones practicadas, se ha acreditado que la actuación de la entidad investigada como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es