1/9 Procedimiento Nº: E/09544/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Como consecuencia de la notificación a la División de Innovación Tecnológica de esta Agencia de una brecha de seguridad de datos personales por parte del Responsable del Tratamiento RENAULT RETAIL GROUP MADRID, S.A con número de registro de entrada ***REGISTRO.1 relativa a XXXXXXXX que afecta un elevado número de datos personales, se ordena a la Subdirección General de Inspección de Datos que valore la necesidad de realizar las oportunas investigaciones previas con el fin de determinar una posible vulneración de la normativa de protección de datos. SEGUNDO: A la vista de la citada notificación de quiebra de seguridad de los datos personales, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación, teniendo conocimiento de los siguientes extremos: Resumen de la notificación Ataque malware que comprometió la disponibilidad de los datos. Los servicios de acceso a las webs y el envío de datos. La comunicación y recepción de leads se tuvieron que deshabilitar. (en marketing los leads son contactos que han proporcionado los datos en una web a cambio de un contenido -usuarios potenciales clientes-) El incidente ha sido detectado por el encargado del tratamiento . Han aportado “Informe actuaciones ataque malware” elaborado por el encargado del tratamiento. ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: RENAULT RETAIL GROUP MADRID, S.A. con CIF A28114759 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN
- Con fecha 24/11/2020, la Directora de la Agencia firma resolución por la que se ordena a la empresa a la comunicación de la brecha a los interesados. Con fecha 14/12/2020 se ha recibido respuesta de la entidad en la que se aporta escrito en que se pone de manifiesto que, en cumplimiento del deber de informar a los interesados de la brecha de seguridad se decide realizar una comunicación pública ya que la comunicación individual a los interesados supone un esfuerzo desproporcionado por los siguientes motivos: costes elevados derivados de la comunicación individual y el servidor que contiene la base de datos no fue encriptado por lo que no hubo en ningún momento riesgo para los interesados. Por todo ello manifiestan que se ha procedido a realizar una comunicación pública en el web de Renault Retail Group al que se puede acceder a través de los siguientes enlaces: ***URL.1, ***URL.2 A este respecto con fecha 17 de diciembre de 2020, desde la Inspección de Datos se accede a las direcciones indicadas anteriormente verificando que consta una noticia “***NOTICIA.1” en la que se informa: “El pasado ***FECHA.1 el proveedor encargado de nuestro CRM, …, sufrió un ciberataque tipo XXXXXXXX. Como resultado del mismo se bloqueó temporalmente el servicio que nos proporciona. … activó inmediatamente el plan de contingencia correspondiente, resolviendo la situación a las 18 h siguientes. El incidente afectó a la falta de disponibilidad de los servicios contratados, así como a un retraso en la contestación de los leads. En ningún momento hubo fuga ni pérdida de información contenida en la base de datos. Después de implementar las medidas correctivas y preventivas pertinentes, actualmente todos los servicios están restablecidos y se funciona con normalidad”. 2.- Con fecha 17 de diciembre de 2020 se solicitó información a RENAULT RETAIL GROUP MADRID, S.A. (en adelante RRG). De la respuesta recibida se desprende lo siguiente: Respecto de la empresa. RRG mantiene un contrato de encargado del tratamiento con ARTYCO COMUNICACIÓN Y SERVICIOS SL desde 2011 por el que se subcontratan los servicios de CRM, marketing relacional, gestión de las comunicaciones con los clientes y elaboración de informes y estadísticas de las campañas realizadas. (Anexo I). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 El ***FECHA.1 y ***FECHA.2 ARTYCO comunicó el ataque sufrido y aportó la documentación necesaria para valorar el incidente y determinar la notificación a la AEPD y, en su caso, comunicación a los afectados (Anexo II comunicación con la empresa). Respecto de la cronología de los hechos. Acciones tomadas con objeto de minimizar los efectos adversos y medidas adoptadas para su resolución final En el informe aportado en la notificación de brecha figura: El ***FECHA.1 a las 8:45 el equipo de soporte comunica la existencia de un fallo de arranque en un PC y muestra un mensaje en pantalla solicitando contraseña al iniciar arranque, debido a que el disco duro está encriptado, también se proporciona una dirección de contacto para el pago. Con esta información y al no tener una herramienta de encriptación en este equipo se sospecha un posible ataque y se desconecta de la red de datos. Inmediatamente se comienza la revisión de los servidores y detecta diversos equipos con discos duros encriptados por lo que se confirma que se trata de un ciberataque de tipo XXXXXXXX. Se realizan, entre otras, las siguientes acciones de contención de la brecha: o Apagado de servidor de backup y unidades de almacenamiento conectadas al servidor de backup. o Desconexión de puertos de red y desconexión física de los PCs a la red. o Apagado de servidores comprometidos por el ataque. Para determinar el alcance de la brecha se realiza, entre otros, los siguientes pasos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 o Se comprueba que hay un total de 6 equipos personales y 30 servidores afectados. No se detecta tráfico ni comportamiento inusual en el resto de los equipos no comprometidos. Tampoco se detecta correo malicioso en los servidores de correo. o En ningún caso se detecta ficheros encriptados individualmente en los equipos afectados. Una vez identificado el ataque se realizan, entre otras, las siguientes acciones correctoras: o Verificación de credenciales de acceso a los recursos donde se alojan los backups. o Verificación del alojamiento de las copias de seguridad y el acceso desde la herramienta de backup. o Planificación de la restauración de los servidores afectados. o Selección de backups con fecha anterior al día en que se detecta el ataque. o Restauración de todos los servidores afectados. La restauración es global de todo el servidor, no sólo de las unidades afectadas por el malware con objeto de asegurar de que no quede ningún proceso latente que pueda reproducir la infección de equipos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 o Verificación del correcto funcionamiento de los servicios restaurados. o En los PCs-cliente afectados, se reinstalan a valores de fábrica. El día ***FECHA.3 a las 2:30 (menos de 18 horas después de detectar el ataque) todos los servidores y equipos críticos tanto internos como de servicio a clientes están operativos comprobando que no ha habido ni fugas ni pérdidas de información en este incidente. Respecto de las causas que hicieron posible la brecha La brecha fue causada el ***FECHA.1 por un ataque tipo XXXXXXXX (Timisoara Hacker Team (THT). El ataque comenzó con un correo electrónico que contenía el malware que un empleado atendió (phishing). Respecto de los datos afectados. La brecha afectó a dos de los tres servidores gestionados por el encargado para RRG. Los servidores afectados fueron los relacionados con los servicios web, pero en ningún momento fue encriptado el tercer servidor que contiene la base de datos. Debido a la afectación de los servidores se produjo un retraso en el envío de 353 leads retrasando la contestación a las solicitudes de información de los clientes potenciales. Respecto de las medidas de seguridad implantadas Con anterioridad a la brecha Medidas técnicas: o C/ Jorge Juan, 6 28001 – Madrid Control de acceso a través de un usuario y una contraseña y, en algunos casos, mediante filtrado de IP o VPN. www.aepd.es sedeagpd.gob.es 6/9 o Segmentación de redes con niveles de acceso según el perfil del usuario o el tipo de servicio que alojen los servidores. o Firewall. o Antivirus o Políticas de directorio activo: establecimiento caducidad y complejidad de las contraseñas, bloqueo de puestos USB o dispositivos extraíbles. o Sistemas de monitorización de servicios de la red disponiendo de alertas cuando se detecta cualquier rendimiento anómalo. o Políticas de backup. Medidas organizativas: o El encargado del tratamiento está certificado en la norma estándar de seguridad de la información ***NORMA.
- o Existe un Comité de Seguridad que se reúne trimestralmente para hacer seguimiento de todas aquellas cuestiones referentes al área de seguridad. o Plan de Formación y concienciación de los trabajadores. Documentación aportada: C/ Jorge Juan, 6 28001 – Madrid o Procedimiento de actuación ante brechas de seguridad específicas de protección de datos, elaborado por el asesor externo que presta un servicio continuado a RRG en materia de protección de datos (Anexo VIII). o Registro de Actividad de los tratamientos de RRG (Anexo III). En los apartados 1 y 2 de la pestaña clientes está reflejado el registro del tratamiento objeto de la brecha. o Análisis de riesgos relativo al tratamiento de datos personales de Clientes (Anexo IV y V). www.aepd.es sedeagpd.gob.es 7/9 o Informe de análisis y ponderación de los riesgos de la brecha objeto de notificación (Anexo IX). o Informe de Auditoría Interna (Anexo VI) realizado por una tercera empresa. CONFIDENCIAL. o Informe de Auditoría para Certificado ISO 27001 en el encargado del tratamiento (Anexo VII). o Enlace de acceso a la Política de Calidad y Seguridad de la Información del encargado: ***URL.
- Con posterioridad a la brecha se han implementado mejoras, entre ellas: Optimización de la segmentación actual de redes. Aumento de la frecuencia de los backups en los servidores de bases de datos. Implementar un sistema de filtrado basado en reputación IP. Aumento de la concienciación del personal. Se realizarán píldoras formativas por parte de todos los trabajadores del encargado y se realizarán simulaciones de phishing durante el primer trimestre del año
- Información sobre la recurrencia de estos hechos y número de eventos análogos acontecidos en el tiempo. No ha habido ningún incidente que haya afectado a datos de carácter personal con anterioridad, en los 25 años de historia de la empresa. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante quiebra de seguridad) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta que se produjo una quiebra de seguridad de datos personales en las circunstancias arriba indicadas, categorizada como brecha de disponibilidad. De la documentación aportada por la empresa en el curso de estas actuaciones de investigación, entre otra, RAT de la investigada, AR relativo al tratamiento de datos personales de Clientes, que ha dado como resultado un nivel de impacto medio no siendo necesario realizar una evaluación de impacto, procedimiento de actuación ante brechas de seguridad, así como, informes de auditoría interna, realizado por una tercera empresa fechado el 19/02/2020 y de auditoría para certificado ISO 27001 en el encargado del tratamiento de fecha 3 y 4 de marzo de
- Se desprende que, con anterioridad a producirse la brecha, la entidad investigada disponía de medidas de seguridad razonables en función de los posibles riesgos estimados. Asimismo consta acreditado el cumplimiento, a través de comunicación pública en el Site de la investigada, de la orden de comunicación a los afectados, dada por la Directora de la Agencia Española de Protección en fecha 24 de noviembre de
- La brecha se produjo por el ataque con un XXXXXXXX, tras ser víctima de phishing un empleado, que atendió un correo que contenía el malware. En cuanto al impacto, los datos que se han visto vulnerados contienen información identificativa y de contacto, tanto de clientes, como de clientes potenciales, siendo el volumen de registros afectados superior al millón. Una vez identificado el ataque, se realiza la verificación, de las credenciales de acceso a los recursos donde se alojan los backups, del alojamiento de las copias de seguridad y el acceso desde la herramienta de backup, se seleccionan los backups con fecha anterior al día en que se detectó el ataque, procediéndose en el plazo de 18 horas al restablecimiento con normalidad del servicio. Para evitar que estos hechos se repitan, se ha procedido a la optimización de la segmentación de redes, al aumento en la frecuencia de los backups en los servidores de bases de datos y a la implementación de un sistema de filtrado basado en reputación IP. Por otro lado, se realizarán acciones para aumentar la concienciación del personal, entre ellas, simulaciones de phishing. En consecuencia, consta que disponía de medidas técnicas y organizativas razonables para evitar este tipo de incidencia, no obstante y una vez detectada ésta, se produce C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 una diligente reacción al objeto de notificar a la AEPD, e implementar medias para eliminarla. Por último, se recomienda elaborar un Informe Final sobre la trazabilidad del suceso y su análisis valorativo, en particular, en cuanto al impacto final. Este Informe es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos y servirá para prevenir la reiteración de una brecha de similares características como la analizada. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a RENAULT RETAIL GROUP MADRID, S.A. con CIF A28114759 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es