Entre el 5 y el 7 de mayo de 2024, un ataque cibernético comprometió los sistemas de Konecta BTO, una empresa de contact center que gestionaba la atención al cliente de dos grandes compañías energéticas españolas. El vector de entrada fue el uso de credenciales comprometidas de dos empleados de una subcontrata chilena del grupo Konecta. Como resultado, se filtraron nombres, apellidos, DNI y datos de contacto de cientos de miles de clientes.
Este incidente se ha convertido en un precedente significativo en el ámbito de la gobernanza, riesgo y cumplimiento (GRC) en España. Aunque Konecta no era el responsable del tratamiento de los datos, sino el encargado, la Agencia Española de Protección de Datos (AEPD) aplicó el artículo 28.10 del Reglamento General de Protección de Datos (RGPD). Según este artículo, cuando un encargado incumple sus obligaciones de seguridad, pasa a ser considerado responsable autónomo.
La sanción impuesta fue de 500.000 euros, aunque se redujo a 300.000 euros por el reconocimiento de responsabilidad por parte de Konecta, según la resolución PS-00613-2025. La brecha no fue detectada por Konecta, sino por las propias compañías energéticas afectadas. La falta de monitorización y respuesta ante incidentes, así como el acceso directo a sistemas críticos sin restricciones por parte de la subcontrata chilena, fueron factores determinantes en la decisión de la AEPD.
El Delegado de Protección de Datos (DPO) y el responsable de seguridad de Konecta han tenido que responder por no haber auditado a su proveedor, una exigencia del NIS2 desde enero de 2025. Las energéticas también han sido cuestionadas por esta falta de auditoría.
Este caso subraya la importancia de la diligencia debida en la cadena de proveedores, especialmente cuando se manejan datos sensibles de clientes. Las empresas que externalizan servicios deben ser conscientes de que sus proveedores pueden representar un riesgo significativo si no se gestionan adecuadamente.
Transparencia: Elaborado con asistencia de inteligencia artificial y revisado editorialmente por la redacción. Imagen generada o manipulada con IA.