PS-00392-2022

1/27 Expediente Nº: EXP202200521 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de septiembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ADVANS BROKERS CORREDURIA DE SEGUROS S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202200521 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 08/09/2021 el encargado de tratamiento TECNOLOGÍA, SOFTWARE E INTEGRACIÓN DE SISTEMAS, SL (en adelante TESIS), a través de su DPD, notifica brecha de seguridad que afecta a dos responsables de tratamiento, en ambos casos organizaciones privadas con actividad relacionada con la correduría de seguros; por un lado el responsable URQUIA & BAS, CORREDURIA DE SEGUROS S.L. (en adelante URQUIA) y por otro el responsable ADVANS BROKERS CORREDURIA DE SEGUROS S.L. (en adelante ADVANS). La notificación la realiza el DPD de TESIS a través de dos entradas diferentes: - En la entrada con fecha 08/09/2021, se notifica la existencia de una brecha de seguridad afectando a un único responsable (URQUIA), con fecha de detección, del 06/09/2021 y un total de 55.000 personas afectadas, entre los que se encontraban menores de edad. Los datos personales afectados según esta notificación son datos básicos, económicos o financieros (sin medios de pago) y de contacto. - En la entrada con fecha 08/09/2021, se notifica la misma brecha anterior, pero aportando dos responsables de tratamiento, URQUIA y ADVANS. La fecha de detección es la misma, 06/09/2021, 55.000 afectados entre los que se encuentran menores, y con datos afectados que hacen referencia a datos básicos y datos de contacto, según notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 En ambas entradas se aporta la misma descripción de lo ocurrido: “tras el aviso a TESIS por parte de uno de sus clientes, se comprueba que las estructuras de una de sus bases de datos se encuentran disponible en un foro de internet. Se indica que la base de datos afectada contiene tanto datos ficticios como datos reales y se procede a realizar una investigación interna para analizar cómo se ha podido filtrar la información, se realiza una captura de pantalla del foro con los nombres de las tablas afectadas para tener conocimiento del alcance y proceder al análisis interno”. Con fecha 28/09/2021 se recibe Nota Interior por parte de la División de Innovación Tecnológica, solicitando a la Inspección de Datos el inicio de las actuaciones de inspección pertinentes para verificar los aspectos relacionados con la normativa de protección de datos en relación con los responsables de tratamiento URQUIA y ADVANS. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 28/09/2021 se abre un primer expediente, ***EXPEDIENTE.1, con los investigados URQUIA (como responsable de tratamiento) y TESIS (como encargado de tratamiento), dando lugar a la actuación ***ACTUACIÓN.1 que concluye con un informe de actuaciones previas de investigación (en fecha 13 de enero de 2022), del cual extraemos para la presente investigación lo siguiente: - En el momento de redacción del informe de la ***ACTUACIÓN.1 se desconocía con exactitud cómo se ocasionó la brecha y por consiguiente no se puede concretar la causa/motivo de vulnerabilidad de las medidas de seguridad implementadas. - Se indica que TESIS ha encargado una auditoría de sus sistemas de información a la empresa especializada OnRetrieval, a los efectos de poder aclarar estas circunstancias. En los momentos de redacción del informe no se disponía de resultados concluyentes Posteriormente, en el marco de este mismo expediente ***EXPEDIENTE.1 se procede a la apertura de PS/00035/2022, del que se extrae para la presente investigación: - “La entidad investigada URQUIA sufrió una brecha de seguridad de los datos personales de los que era responsable, teniendo constancia de ella el 1 de septiembre de 2021 y notificándose la misma ante esta Agencia el 8 de septiembre de 2021, sin haber acreditado los motivos que justifiquen tal dilación. Si bien es cierto que la brecha fue sufrida directamente por el encargado del tratamiento, no lo es menos que el responsable tuvo conocimiento de ella desde el día de la detección (1 de septiembre de 2021) y no lo comunicó hasta el día 8 de septiembre”. - “De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 infracción del artículo 33 del RGPD, procede graduar la multa teniendo en cuenta el escaso tiempo en que el plazo legal para notificar a esta Agencia fue sobrepasado. Considerando los factores expuestos, la valoración inicial que alcanza la cuantía de la multa es de 2.000 € por infracción del artículo 33 del RGPD”. En fecha 18/01/2022 se abre un segundo expediente, EXP202200521, con los investigados ADVANS y TESIS, dando lugar a la actuación AI/00023/2022 que concluye con el presente informe de actuaciones previas. De las investigaciones realizadas en el primero de los expedientes, ***EXPEDIENTE.1, y teniéndose en cuenta que la base de datos filtrada es la misma para ambos responsables de tratamiento, se añade:  Que se desconocía de forma precisa cuándo y cómo se produjo el incidente, y por consiguiente no se pudo concretar la causa/motivo de vulnerabilidad de las medidas de seguridad implementadas.  Que la Base de Datos se puso a la venta en internet mediante pago de 650 dólares o el equivalente en Bitcoins, desconociéndose si se había vendido o no.  Que las acciones tomadas por parte de TESIS para minimizar los efectos adversos tras conocer la filtración de la base de datos fueron: o Aislar el acceso a la BD. o Realizar investigaciones técnicas del incidente para conocer impacto. o Poner denuncia ante Policía (aportada en entrada e2100043203). o Notificación AEPD inicial y ampliada posteriormente en entrada e

1.  Que TESIS había encargado una auditoría a la empresa especializada Onretrieval, pero a fecha de realización del informe de actuaciones previas de este expediente esta auditoría se encontraba en proceso, no disponiéndose en aquel momento de resultados concluyentes.  Que los datos afectados e incluidos en la base de datos robada, cuya estructura y nombres de tablas se ha publicado por el hacker en el mismo foro, tratan datos identificativos, datos de contacto, datos económicos y datos de medios de pagos. Esta base de datos es la misma para ambos responsables, URQUIA y ADVANS.  Que TESIS realizó una investigación interna y, en base a los listados de las tablas extraídas y publicadas en el foro (donde también se publicaba una pequeña muestra de los datos que contenían los ficheros en venta), podían confirmar que se trataba de su base de datos. TESIS aporta las capturas de pantalla que realizó en aquel momento del foro, una captura hace referencia al listado de archivos publicados en el foro por el hacker, este listado contenía el nombre de cada archivo publicado, en formato csv, con el número de KB que contenía. Cada uno de estos archivos hacían referencia a cada una de las tablas de la base de datos sustraída. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27  En la denuncia realizada por TESIS ante la Dirección General de la Policía de Cataluña, el día 07/09/2021, se declara que las compañías afectadas por la brecha de la base de datos eran URQUIA y ADVANS, que de la primera de ellas se habían filtrado datos reales mezclados con datos falsos, que de la segunda sí que se habían filtrados datos reales únicamente. Con fecha 09/09/2021 se da traslado al responsable ADVANS instándole a ampliar la información de la brecha notificada por TESIS. En fecha 21/10/2021 se recibe respuesta de ADVANS, de la que se extrae:  Que el 06/09/2021 TESIS comunica a ADVANS la posible existencia de una brecha de seguridad que afectaría a sus datos personales. El 08/09/2021 TESIS notifica a esta Agencia la brecha de seguridad con dos responsables afectados, ADVANS y URQUIA.  Que ADVANS forma parte de la Asociación de Interés Económico SERVICIOS DE MEDIACION AVANZADA, A.I.E. (en adelante MEDIAVANZ).  Que TESIS y MEDIAVANZ suscribieron en enero de 2021 un contrato marco de colaboración y prestación de servicios, y como consecuencia de este se suscribe posteriormente un acuerdo individual de uso de licencia software y prestación de servicios informáticos entre TESIS y ADVANS. En concreto, este acuerdo tenía como objeto poner a disposición de ADVANS el uso de un completo software de gestión integral del negocio de Correduría de Seguros (CRM y ERP), para lo que requería la adaptación del sistema que hasta ahora venía utilizando ADVANS, instalación del nuevo sistema en su infraestructura, y la portabilidad de los datos de los que es responsable ADVANS al nuevo sistema.  Afirman que “ADVANS no tiene indicio alguno de que haya existido la pretendida brecha de seguridad, ni conoce el periodo y alcance de esta; y tampoco puede afirmar que el incidente se haya extendido a los datos de los que es responsable y que formaban parte de las operaciones de integración, desarrollo y migración del sistema de gestión de TESIS en el marco de los servicios contratados”.  Que ADVANS había analizado los enlaces del foro donde se encontraba a la venta la base de datos en internet y que, tras cotejar cada uno de los datos de muestra aportados por el hacker en el mismo hilo del foro (como gancho del producto que vendía), comprobaron que ninguna referencia correspondía a ADVANS, y que el resto de las entradas del foro ponían en duda la veracidad de los datos sosteniendo que no se trata más que de un fraude.  Que más allá de la información proporcionada por TESIS como encargado de tratamiento, no les constaba ninguna evidencia que permitiera acreditar la existencia de la citada brecha de seguridad, y que ninguno de sus clientes había contactado con ellos denunciando una posible sustracción de datos. (Esta afirmación se analiza en el apartado “resultados de las actuaciones de investigación”).  Que la empresa especializada en seguridad, Onretrieval, y contratada por TESIS para la investigación interna del incidente, manifestaba (a fecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 redacción de esta respuesta al requerimiento) no tener suficientes evidencias como para determinar la existencia, causas y efectos de la manifestada brecha de seguridad. Con fecha 19/01/2022, se hace un requerimiento de información a ADVANS, solicitándole la aclaración de los siguientes aspectos:  A que aportara la copia del contrato entre TESIS y ADVANS.  A que acreditara la afirmación de que la empresa Onretrieval manifestaba no tener suficientes evidencias de la brecha. Con fecha 31/01/2022 se recibe respuesta por parte de ADVANS, de su análisis se extrae:  Se aporta copia del contrato Marco de Colaboración y Prestación de Servicios entre TESIS y MEDIAVANZ, firmado el 01/01/2021, así como también el contrato individual entre TESIS y ADVANS, suscrito en fecha 21/05/2021, y cuyo objeto era el servicio de uso de licencia, mantenimiento y soporte de software de gestión integral del negocio de Correduría de Seguros. De este contrato se extrae el siguiente contenido: “Mediante las presentes cláusulas se habilita a la entidad TECNOLOGIA, SOFTWARE E INTEGRACION DE SISTEMAS, S.L., encargada del tratamiento, para tratar por cuenta ADVANS BROKERS CORREDURÍA DE SEGUROS S.L, responsable del tratamiento, los datos de carácter personal necesarios para prestar el servicio SOFTWARE DE GESTIÓN DE CARTERA DE SEGUROS. OBLIGACIONES DEL ENCARGADO: I. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios. II. Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el encargado informará inmediatamente al responsable. III. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles. El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 IV. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto. V. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. VI. Mantener a disposición del responsable la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior. VII. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales. VIII. Dar apoyo al responsable del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. IX. Dar apoyo al responsable del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda. X. Poner disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él. NOTIFICACIONES DE VIOLACIONES DE SEGURIDAD: Cada una de las partes deberá de comunicar a la otra las violaciones de seguridad de los datos a la Autoridad de Protección de Datos que puedan afectar a los datos cuyo tratamiento se ponga de manifiesto como consecuencia del presente acuerdo MEDIDAS DE SEGURIDAD QUE DEBE IMPLANTAR EL ENCARGADO: Sobre el Personal: - Se han definido las funciones y obligaciones de los usuarios y se ha difundido entre el personal. - Se dispone de una relación actualizada de usuarios y perfiles de usuarios y accesos autorizados para cada uno de ellos. - Para el acceso a datos internos, cada persona dispone de un usuario y contraseña de directorio activo, así como la pertenencia a un grupo. El acceso a los datos se restringe dependiendo de dicha pertenencia. En caso de dejar de necesitar el acceso a los datos, por baja o cambio de puesto, se da de baja el acceso o se cambia de grupo de directorio activo. - La concesión, alteración o anulación de los permisos lo realiza sólo el personal autorizado. - Las contraseñas se almacenan de forma ininteligible. - Se cambian las contraseñas con una periodicidad mínima de 180 días. Copia de seguridad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 - Se realizan copias de seguridad con periodicidad semanal y diaria. - Se tiene establecidos los procedimientos para la realización de copias de seguridad y recuperación de datos. - Se restringe el acceso a los soportes de copia por la pertenencia al grupo de directorio activo responsable de su tratamiento. Evitando de esta forma accesos no autorizados. Gestión de soportes: - Se dispone de un inventario de soportes. - Se restringe el acceso al lugar donde se almacenan los soportes. Estos se encuentran en un CPD con control de acceso y refrigeración constante. - Se tienen implantadas las medidas de seguridad para el transporte y desecho de soportes. Protección contra accesos externos no autorizados que afecten a la disponibilidad o al robo de información: - Se dispone de Firewall que no permite las conexiones externas no autorizadas. Sólo están habilitados aquellos servicios relevantes para la organización. También se dispone de antivirus a nivel de archivos. Gestión de incidencias: - Se dispone de un procedimiento de notificación y gestión de incidencias y de notificaciones de violaciones de seguridad. - Se lleva un registro de violaciones de seguridad, conforme a lo previsto en el Reglamento General de Protección de Datos. Copias en el acceso remoto: - Se realizará las actualizaciones necesarias del software utilizado para el acceso remoto. - El software y sistema utilizado no deberá tener vulnerabilidades conocidas que puedan afectar a la seguridad de los datos de forma innecesaria. Verificaciones en procesos de migración de datos: - En los procesos de migración de datos y similares se realizarán comprobaciones aleatorias para verificar la correcta realización del proceso. Análisis de riesgo, análisis de código y testeo de seguridad: - Se realizarán procesos para la evaluación de riesgos por el mal uso del software y análisis del código enfocados a evaluar la seguridad de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 información. Asimismo, se deberán realizar auditorías para evaluar la seguridad del sistema. Auditoría: - Los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría externa que verifique el cumplimiento de las medidas de seguridad y cumplimiento normativo. Con carácter extraordinario deberá realizarse dicha auditoría siempre que se realicen modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas con el objeto de verificar la adaptación, adecuación y eficacia de estas. Esta auditoría inicia el cómputo de dos años señalado en el párrafo anterior. El informe de auditoría deberá asegurar el cumplimiento de las obligaciones del encargado en relación a los tratamientos de datos objeto de este contrato. Medidas de Seguridad En Servidores subcontratados por el Encargado en el caso de contratación de servicios en la nube: Ubicación de los datos: - Los datos están alojados en soportes externos cuyo mantenimiento depende de un proveedor. Están alojados en Madrid, ESPAÑA, dentro del Espacio Económico Europeo, concretamente con el proveedor AXARNET. Dicho proveedor cuenta con diversas certificaciones: o PCI DSS o ISO XXXXXXX - En cada data center disponen de seguridad perimetral y estricto control de acceso. Acceso a datos: - El acceso lógico al soporte donde se almacenan los datos está restringido solamente a aquellas personas que necesiten, por su cargo, acceder a dichos datos. En caso de que sea así, se les proporcionará un acceso mediante usuario y contraseña. En el caso de dejar de necesitar el acceso a los datos, se les retira dicho método de acceso. Copia de seguridad para evitar pérdidas o alteraciones: - Las copias de los datos de los soportes ubicados externamente se realizan en otros soportes que no comparten ubicación con los originales. Dependiendo de la importancia de dichos datos, la frecuencia puede ser desde copias diarias a copias incrementales cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 pocos minutos. El acceso a los soportes de copia estará restringido, tanto para el software de copia, como para los encargados de su tratamiento, mediante usuario y contraseña específico para ello. Encriptación de datos y comunicaciones: - El acceso a los datos en servidores externos se realiza mediante protocolos seguros HTTPS. Las copias de seguridad se almacenan en contenedores comprimidos y encriptados mediante contraseña, sólo disponible para aquellos responsables de su tratamiento. Protección contra accesos externos no autorizados que afecte a la disponibilidad o al robo de información: - El proveedor de la infraestructura externa dispone de mitigación automática de ataques DDoS. Por otro lado, cada servidor dispone de Firewall y sólo se permite el acceso a aquellos servicios relevantes para el desempeño de las funciones propias del cliente  Por otro lado, para acreditar la manifestación de la empresa especializada OnRetrieval de no tener suficientes evidencias de la brecha, ADVANS aportaba lo siguiente: o Por un lado, la copia de un correo electrónico enviado por esta misma empresa (Onretrieval) a TESIS, con fecha de 21/10/2021 a las 11:30 horas, con el siguiente contenido: “Hola Sergio, Le informamos de que Onretrieval ha sido designado por TECNOLOGIA, SOFTWARE E INTEGRACION DE SISTEMAS SL (TESIS), como proveedor para la investigación y respuesta contra el incidente de seguridad sufrido. Nuestro equipo DFIR está analizando las evidencias disponibles, a fin de determinar el alcance real, actores involucrados y causas del incidente. En este momento no disponemos de resultados concluyentes que podamos adelantar. Una vez terminada la investigación, los resultados se plasmarán en un informe pericial que será remitido a la mayor brevedad posible. Un saludo,” o Por otro lado, aportan un escrito que TESIS envía a ADVANS, en fecha 23/12/2021, con un extracto de las conclusiones obtenidas en el informe de auditoría, realizado por la empresa Onretrieval, y cuyo contenido es el siguiente: “Analizadas las evidencias detalladas en este informe, se puede llegar a las siguientes conclusiones:
2. No existe evidencia en los diferentes registros auditados, de que ninguna de las cuentas de correo corporativas, sufriera una intrusión o fuga de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27
3. Ambos servidores han sido atacados en diferentes ocasiones.
4. Existe evidencia de que el Servidor 1, ha sido vulnerado desde direcciones IP catalogadas como maliciosas y con origen en Rusia y Tailandia.
5. No se puede determinar el alcance exacto de la fuga de información en el Servidor 1, debido a que los archivos “Prefetch” y el historial de comandos de “PowerShell” han sido borrados.
6. Existe evidencia de que el Servidor 2 ha sido atacado.” En este escrito también se añadía la siguiente información por parte de TESIS: “TESIS informa, que en relación a la incidencia notificada a la empresa ADVANS BROKER, CORREDURIA DE SEGUROS S.L. con número de registro en la AEPD numero O00007128e2100037443, se ha procedido a las investigaciones pertinentes mediante auditoría Externa por la empresa Onrecovery cuyas conclusiones son las anteriormente expuestas. Sin acreditar con ello datos fehacientes y claros de que se hayan visto afectados los datos de ADVANS BROKER. Aun así, las medidas y acciones de fortificación tomadas son: o Desconexión total de los servidores afectados, desde la detección de la vulnerabilidad. o Realizadas diversas acciones en nuestros sistemas para aumentar la seguridad. o Realizadas formaciones a nuestro personal en la temática de ciberseguridad. Sirva esto como justificación de nuestras obligaciones de información incluidas en el anexo II del contrato entre ambos, en el epígrafe 8 del mismo. Así mismo en el caso de que la administración reguladora nos lo solicite se ampliará la información necesaria y pertinente.” Con respecto al escrito anterior, resaltar que los nombres OnRecovery y OnRetrieval hacen referencia a la misma empresa especializada en servicios de ciberseguridad y la cual fue contratada por TESIS para realizar la correspondiente auditoría de seguridad. El dominio web de la empresa es ***URL.1 y su domicilio físico “C/ ***DIRECCIÓN.1, MADRID (MADRID), 28023”.  Por último, en su respuesta al requerimiento ADVANS concluye diciendo lo siguiente: “Que TESIS se ha comprometido con ADVANS a actualizar a la AEPD cualquier novedad que vaya recibiendo en el transcurso, y a asumir cualquier responsabilidad derivada de la citada brecha de seguridad; aunque como decíamos en nuestro anterior escrito, las evidencias acompañadas al mismo confirman que de existir brecha de seguridad, lo cierto es que los datos publicados no corresponden a aquellos de los que es responsable ADVANS”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 Teniendo en cuenta la respuesta anterior de ADVANS, en la que se nos daba a entender que los datos de este responsable no estaban afectados por la brecha de seguridad del encargado TESIS, se decide hacer un nuevo requerimiento de información a TESIS, en fecha 08/03/2022, en el que se le solicita que nos confirmen si entre los datos filtrados en la brecha de seguridad notificada existían datos del responsable de tratamiento ADVANS, así como también que nos confirmaran la tipología de estos datos filtrados y el volumen de personas afectadas. En fecha 14/03/2022 se recibe respuesta de TESIS de la que se extrae:  En primer lugar, se nos indica que con fecha 1 de enero de 2022 se ha realizado una absorción de la empresa TESIS por la empresa CODEOSCOPIC S.A, con CIF: A
7.  Por otro lado, nos confirman que SÍ existía datos del responsable ADVANS en la base de datos filtrada y puesta a la venta en el foro de internet. Que la tipología de estos datos es identificativa, datos profesionales y datos de seguros. Que no había quedado acreditado en la auditoría de Onretrieval el volumen total de registros afectados, pero que de forma aproximada estimaban que se trataba de 47404 registros.  Se nos aporta captura de pantalla con el email enviado por TESIS al responsable ADVANS, en fecha 07/09/2021, comunicándole la violación de seguridad que habían sufrido, de este correo se destaca el siguiente contenido: “Como resumen de la brecha de seguridad le informamos que el día 05 de septiembre de 2021 alertados por la brecha de seguridad sufrida por la compañía Zúrich, nuestro departamento informático procedió a revisar si nuestra entidad también había sido afectada. En dicho análisis se detecta que su base de datos ha sido sustraída. Nuestra entidad ha procedido de forma inmediata a aislar esta base de datos, impidiendo cualquier tipo de acceso, así como que se vuelva a ser sustraída y a realizar un análisis pormenorizado de nuestro sistema para conocer todos los detalles de la brecha de seguridad, dicho análisis va a ser realizado por una entidad externa. Además, se va a proceder a denunciar el ataque ante la autoridad competente y en su caso tomar cuantas acciones legales sean oportunas”  Por último, nos adjuntan también el informe final y completo de auditoría de la empresa especializada Onretrieval (firmado con fecha 22/11/2021). Del análisis este informe extraemos el siguiente contenido: “Se proponen como objetivos del análisis forense los siguientes activos: - Servidor
8. Contiene una copia de la base de datos filtrada. Se buscarán evidencias de intrusión y fuga de información. - Servidor
9. Contiene una copia de la base de datos filtrada. Se buscarán evidencias de intrusión y fuga de información. ….. ….. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 SERVIDOR 1 Se ha podido verificar que el servidor ha sido comprometido, ya que existen conexiones exitosas ilícitas a los servidores desde diversas direcciones IPs que han sido catalogadas como maliciosas. No se ha podido determinar con exactitud qué información ha sido filtrada, debido a que los archivos de “Prefetch” y el historial de comandos de “PowerShell” han sido borrados, probablemente por los atacantes. En cualquier caso, el alcance potencial del incidente es toda la información contenida en el servidor, ya que han logrado logarse con éxito mediante escritorio remoto (RDP). No se ha podido determinar si el acceso se ha conseguido mediante robo de credenciales o explotación de vulnerabilidades en el servidor. Durante el análisis, se ha detectado actividad maliciosa en los siguientes ámbitos: Servicio RDP: Tras el análisis de las evidencias, se ha podido verificar, que el mismo día el cual se procedió a la extracción de datos, 3 de noviembre de 2021, el servidor aceptó una conexión por RDP proveniente de la IP “***IP.1”, con origen en Rusia, y la cual ha sido catalogada como maliciosa, y detectada en foros de ciberdelincuentes por nuestras herramientas de inteligencia. Además, se han detectado conexiones RDP satisfactorias, de las cuales no se ha podido determinar la IP origen. Servicio SMB: el día 21 mayo de 2021, se ha linkeado un directorio SMB a una tarjeta Ethernet en específico. En adición un cliente intentó acceder al servidor mediante SMB. Uno de los intentos de acceso fue el 21 de mayo de 2021 y el segundo intento el 3 de noviembre de
10. Inicios de sesión: Se ha detectado un inicio de sesión exitoso, de tipo 3, el cual proviene de la IP “***IP.2”, con origen en Tailandia, y catalogada como maliciosa. SERVIDOR 2 Se ha podido verificar, que el servidor está siendo atacado el mismo día de la adquisición de logs (3 de noviembre de 2021) pero no se ha detectado ningún inicio de sesión exitoso ni indicios de que el servidor haya sido comprometido hasta el momento.” Las medidas de fortificación realizadas fueron:
11. Limitar geográficamente las conexiones a los servidores. Admitir sólo conexiones desde los países estrictamente necesarios.
12. Evitar la exposición de servicios en la IP pública, y en su lugar emplear de VPN para cualquier tipo de conexión remota a los servidores. De esta manera se evita la explotación de posibles vulnerabilidades en los servicios.
13. Despliegue de solución WAF (Web Application Firewall), en caso de existir aplicaciones expuestas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27
14. Realizar periódicamente auditorías de vulnerabilidades a los servidores, a fin de corregirlas y evitar posibles vectores de ataque presentes y futuros. Teniendo en cuenta esta última contestación de TESIS, afirmando que entre los datos filtrados SI estaban datos del responsable de tratamiento ADVANS, se decide realizar nuevo requerimiento de información a este último, en fecha 23/03/2022, siguiendo la línea de investigación:  Conocer el Registro de Actividades de Tratamiento.  Acreditación del análisis realizado para valorar la necesidad de comunicar la brecha de seguridad a los afectados. En fecha 31/03/2022 se recibe respuesta de ADVANS extrayéndose de dicha respuesta:  Se nos aporta el Registro de las Actividades de Tratamiento al completo, en este existe un apartado sobre el procedimiento de actuación ante violaciones de seguridad, del que se extrae el siguiente contenido: “En los casos en que sea probable que la violación de seguridad entrañe un alto riesgo para los derechos o libertades de los interesados, la notificación a la autoridad de supervisión deberá complementarse con una notificación dirigida a estos últimos. El objetivo de la notificación a los afectados es permitir que puedan tomar medidas para protegerse de sus consecuencias. Por ello debe realizarse sin dilación indebida, sin hacer referencia ni al momento en que se tenga constancia de ella ni tampoco a la posibilidad de efectuar la notificación dentro de un plazo de 72 horas. El propósito es siempre que el interesado afectado pueda reaccionar tan pronto como sea posible. En la notificación se incluirán además las recomendaciones sobre las medidas que pueden tomar los interesados para hacer frente a las consecuencias de la quiebra”  Se nos afirma que ADVANS NO tenía constancia de evidencias que permitieran llegar a la conclusión de que sus datos se han visto afectados, justificando esta afirmación en los dos siguientes puntos: o Aportan captura de pantalla con una muestra de datos que el usuario (hacker) publica en el foro de internet (probablemente como gancho o publicidad del producto que vendía). No obstante, esta muestra es muy pequeña y únicamente contiene unos 11 registros de una de las tablas de la base de datos. Según ADVANS, ninguno de estos registros de muestra correspondía a datos suyos, en concreto indican: “Tras cotejar de forma individual todos y cada uno de los datos publicados se comprueba que ninguna referencia corresponde o se encuentra dentro de las bases de datos de ADVANS, por lo que no pueden tratarse de datos personales de los que es responsable ADVANS ni han podido ser tratados por parte de CODEOSCOPIC SA en su condición de encargado de ADVANS” o C/ Jorge Juan, 6 28001 – Madrid Que durante los últimos meses ninguno de los clientes o personas físicas para los que ADVANS presta sus servicios de correduría de seguros www.aepd.es sedeagpd.gob.es 14/27 le ha informado de la existencia de sospechas o indicios sobre la filtración de datos. o   Que el informe de auditoría de OnRetrieval no dejaba lugar a dudas sobre la citada falta de evidencias. También nos afirmaban en su respuesta que la base de datos que TESIS trataba por parte de ADVANS únicamente contenía: o Datos identificativos y la relación del número y referencia de las pólizas suscritas con los mismos, pero nunca el contenido de dichos contratos de seguros. o Excepcionalmente la cuenta bancaria en la que el cliente tenía domiciliada la prima, pero nunca números de tarjetas de crédito o contraseñas de ningún tipo, ni datos especialmente protegidos. Que realizan, a petición expresa de este último requerimiento, un análisis del riesgo para los derechos y libertades de las personas afectadas para conocer el alcance que hubiera podido tener la presente brecha y las necesidades de notificación, de este análisis se extrae para la presente investigación: o Concluyen con un nivel de riesgo BAJO, y para realizarlo tienen en cuenta la siguiente tipología de información que se ha podido filtrar: a) Información confidencial de la empresa. b) Información confidencial de terceros. c) Datos identificativos de clientes. d) Datos de contactos de clientes. o Se analizan 25 factores de riesgo para los derechos y libertades y se le asigna un nivel de probabilidad e impacto (siendo 1 despreciable y 4 máximo), destacando los siguientes: a) Riesgo de daño económico (asignan probabilidad 4 e impacto 3). b) Riesgo de efectos jurídicos perjudiciales para el interesado (asignan probabilidad 3 e impacto 3) En relación con la notificación de la brecha a los interesados concluyen que descartaron realizarla atendiendo a los criterios de la Guía para la gestión y notificación de brechas de seguridad, concretamente su Anexo III, y utilizaron para ello la siguiente selección (información destacada en negrita): VOLUMEN (número de registros completos e identificativos) • Menos de 100 registros