Bankinter Multado con 400.000 Euros por Brecha de Seguridad en EVO Banco
Foto: Archivo – Todos los derechos reservados
Bankinter ha sido sancionado con una multa de 400.000 euros por la Agencia Española de Protección de Datos (AEPD) debido a una grave brecha de seguridad ocurrida tras la absorción de EVO Banco. Aunque el incidente ocurrió antes de la fusión, Bankinter ha asumido la responsabilidad como entidad sucesora. La multa se redujo a 240.000 euros tras acogerse al pago voluntario.
Origen del Fallo: Un “Error Manual”
La causa de la brecha fue un “error manual” durante la migración de software. Este fallo permitió realizar consultas masivas a la base de datos sin necesidad de credenciales válidas, un hecho que no fue detectado por los sistemas de validación de la entidad.
Cronología del Ataque
El agujero de seguridad estuvo activo desde febrero hasta abril de 2024. En marzo, un ciberdelincuente descubrió la vulnerabilidad y realizó hasta cinco millones de peticiones de datos en cuatro días, de las cuales más de 1,2 millones fueron exitosas. A pesar de ello, un informe pericial independiente no encontró pruebas de que el atacante pudiera exportar toda la información.
Datos Comprometidos y Riesgos Asociados
La información a la que accedió el ciberdelincuente incluía números de cuenta IBAN, declaraciones de IVA, ingresos mensuales, situación laboral y años trabajados. La AEPD advierte que esta combinación de datos permite construir un perfil “completo y detallado” de los individuos, incrementando el riesgo de fraudes y suplantaciones de identidad.
Extorsión a Empleados del Banco
Los ciberdelincuentes llevaron a cabo una campaña de extorsión contra empleados del banco, publicando inicialmente los datos de 10 víctimas en la dark net como prueba. Exigieron un pago para retirar la información, dirigiéndose incluso al jefe de ciberseguridad de EVO. Ante la falta de pago, publicaron más información, incluyendo perfiles detallados de 958 clientes y cuatro trabajadores del banco.
Críticas de la AEPD
La AEPD critica la falta de medidas de cifrado o anonimización adecuadas, lo que permitió que la información fuera visible para cualquiera que lograra acceso. La agencia subraya la erosión de la confianza de los clientes en el manejo seguro de su información personal.
Fusión de Bankinter y EVO Banco
Bankinter adquirió EVO Banco en 2019, pero ambas entidades continuaron operando de forma separada hasta que la fusión definitiva se anunció en abril de 2024, poco después de la brecha de seguridad. La integración concluyó el 14 de julio de 2025, fecha en la que EVO desapareció como entidad independiente y Bankinter asumió la cartera de clientes y las responsabilidades legales.
