· Jonathan Izquierdo · Noticias seguridad ·
La AEPD sanciona con 250.000 € al encargado del tratamiento del Grupo Ayesa
La AEPD sanciona con 250.000 € —150.000 tras las reducciones— a Alía Gestión, del Grupo Ayesa, por el art. 5.1.f del RGPD tras el ataque de Black Basta. Quién responde cuando el atacado es el encargado del tratamiento.
Calcula tu peritaje
Presupuesto orientativo en 2 minutos. Sin compromiso, datos confidenciales.
Estimar coste del peritaje →4,5 terabytes. Es el volumen de datos corporativos que el grupo de ransomware Black Basta robó al Grupo Ayesa y publicó en la dark web, según las informaciones del ataque. El procedimiento sancionador de la AEPD (EXP202409350) se incoó el 18 de febrero de 2026 y ya está resuelto: la Agencia sancionó a ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. —sociedad del Grupo Ayesa y encargada del tratamiento de los sistemas comprometidos— con 250.000 € por infracción del art. 5.1.f) del RGPD, rebajados a 150.000 € por reconocimiento de responsabilidad y pago voluntario, abonados el 13 de marzo de 2026.
Como perito informático forense, este caso me parece especialmente relevante porque ilustra un patrón que veo con frecuencia en mis investigaciones: empresas que, tras sufrir un ciberataque de ransomware, minimizan el alcance real de la filtración ante sus propios empleados. La comunicación inicial que cuestionó el sindicato ASC se refería a solo 35 trabajadores, pero el expediente de la AEPD aprecia al menos 77.027 afectados por la brecha. Los datos comprometidos contenían información extremadamente sensible: DNI, pasaportes, datos personales de empleados, proyectos internacionales, actas societarias y escrituras (forLOPD, Feb 2026).
TL;DR - Resumen ejecutivo
En 60 segundos:
- Entidad sancionada: ALÍA GESTIÓN INTEGRAL DE SERVICIOS, S.L. (CIF B91708263), sociedad del Grupo Ayesa y encargada del tratamiento de los sistemas afectados. No es «Ayesa» sin más. El matiz jurídico es que la AEPD, aplicando el art. 28.10 del RGPD, la consideró responsable de todos los tratamientos afectados por su decisión sobre la seguridad.
- Expediente: EXP202409350, incoado el 18 de febrero de 2026 — y ya resuelto.
- Infracción apreciada: art. 5.1.f) del RGPD (integridad y confidencialidad), no el art. 34.
- Sanción: 250.000 €, rebajados a 150.000 € al aplicar las dos reducciones del art. 85 LPACAP —reconocimiento de responsabilidad y pago voluntario, 20 % cada una—. Pagada el 13 de marzo de 2026.
- Grupo atacante: Black Basta (ransomware-as-a-service). La resolución no lo nombra: eso viene de la crónica del incidente, no del expediente.
- Datos filtrados: 4,5 TB publicados en la dark web según las informaciones del ataque; la resolución no recoge ese volumen. (Y conviene el matiz que este sitio ha tenido que poner cuatro veces esta semana: 4,5 TB es lo que anunció Black Basta. El volumen de una filtración lo declara casi siempre quien la vende, y en un caso peritado que se documenta en este mismo sitio los atacantes decían 800 GB donde el análisis de tráfico encontró 45.)
Cronología del caso Ayesa - Black Basta
Abril 2024 - Ciberataque de Black Basta: el grupo de ransomware Black Basta compromete los sistemas de Ayesa. Los atacantes ejecutan una exfiltración masiva que el propio grupo cifra en 4,5 terabytes de datos corporativos antes de cifrar los servidores, siguiendo el modelo de doble extorsión habitual en este tipo de operaciones.
Finales de mayo de 2024 - Publicación en la dark web: Black Basta publica en su sitio de filtraciones lo que anuncia como 4,5 TB de datos robados. La notificación de Fundación Ayesa reproducida en la resolución sitúa la publicación el 30 de mayo; el sindicato ASC la sitúa los días 29 y 30. Los datos quedan accesibles para cualquier actor malicioso.
2024 - Comunicaciones a los afectados: la comunicación inicial que cuestionó el sindicato se refería a 35 personas, pero el expediente recoge comunicaciones declaradas a 12.500 personas el 25 de abril y a 5.000 el 7 de junio de 2024. La resolución aprecia al menos 77.027 afectados por la brecha.
2024-2025 — Denuncia del sindicato ASC: Alternativa Sindical de la Clase Trabajadora interpone denuncia ante la AEPD alegando que no se informó adecuadamente a todos los trabajadores afectados. (Esa fue la queja del denunciante; la infracción que la AEPD terminó apreciando es otra, la del art. 5.1.f.)
18 de febrero de 2026 — incoación, y 13 de marzo de 2026 — pago y terminación. La AEPD incoó el expediente EXP202409350 contra ALÍA GESTIÓN, no contra «Ayesa» genéricamente, y el procedimiento no agotó los doce meses: terminó en menos de un mes por reconocimiento de responsabilidad y pago voluntario.
Qué datos fueron filtrados
Lo publicado por Black Basta —4,5 TB según su propio anuncio— contenía documentación corporativa y datos personales de diversa naturaleza. Según las fuentes consultadas, la filtración incluía las siguientes categorías de datos:
| Categoría de datos | Tipo de información | Riesgo para los afectados |
|---|---|---|
| Documentos de identidad | DNI, pasaportes de empleados | Suplantación de identidad, fraude bancario, apertura de cuentas fraudulentas |
| Datos económicos y de salud | Datos económicos y de salud de los afectados, entre las categorías que recoge la AEPD | Discriminación, chantaje, ingeniería social dirigida |
| Proyectos internacionales | Documentación técnica de proyectos en ejecución | Espionaje industrial, pérdida de ventaja competitiva, riesgos para clientes |
| Actas societarias | Actas de reuniones de órganos de gobierno corporativo | Información estratégica expuesta, riesgo reputacional |
| Escrituras | Documentos notariales y registrales de la sociedad | Vulneración de información corporativa confidencial |
El volumen, si es el que el grupo declara, resulta especialmente preocupante por la cantidad de documentación corporativa y datos personales que implicaría.
Por qué la infracción es el art. 5.1.f) y no el art. 34
La denuncia iba por la comunicación a los afectados (art. 34 del RGPD), pero la resolución no aprecia esa infracción: aprecia la del art. 5.1.f), el principio de integridad y confidencialidad. Es una diferencia de fondo y conviene entenderla, porque cambia qué hay que acreditar. El art. 34 se incumple por no avisar; el 5.1.f, por no haber protegido. Lo que sigue explica la obligación de comunicar, que es la que suele discutirse y la que originó la denuncia — pero no es la que sostuvo la sanción.
Art. 34 RGPD: qué exige exactamente
El artículo 34.1 del RGPD establece que “cuando sea probable que la violación de la seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento la comunicará al interesado sin dilación indebida”.
La comunicación debe describir:
- La naturaleza de la violación de datos
- El nombre y datos de contacto del DPO o punto de contacto
- Las consecuencias probables de la violación
- Las medidas adoptadas o propuestas para poner remedio
No basta con notificar a la AEPD (art. 33). Hay que informar también a cada persona afectada cuando el riesgo sea alto.
Qué hizo Ayesa y por qué no fue suficiente
Según la denuncia del sindicato ASC, la comunicación inicial de Ayesa se refería a 35 trabajadores. El expediente de la AEPD, sin embargo, aprecia al menos 77.027 personas afectadas por la brecha, además de recoger comunicaciones declaradas a 12.500 y a 5.000 personas en distintas fechas.
El problema no es solo cuantitativo. La naturaleza de los datos filtrados —DNI y pasaportes— eleva el riesgo para los derechos y libertades de los afectados: suplantación de identidad, fraude bancario, apertura de cuentas en nombre de terceros. Cuando es probable un alto riesgo, el artículo 34 del RGPD obliga a comunicar la brecha a los interesados sin dilación indebida, teniendo en cuenta las condiciones del art. 34.3 (que admite, por ejemplo, una comunicación pública si la individual exige un esfuerzo desproporcionado).
Para infracciones del art. 5.1.f) el RGPD prevé hasta 20 millones de euros o el 4 % de la facturación global (art. 83.5), pero aquí la sanción se fijó en 250.000 € y quedó en 150.000 € tras las dos reducciones acumulables del art. 85.3 de la LPACAP. El máximo teórico y la sanción real rara vez se parecen, y citar el primero como si fuera el riesgo esperable desinforma.
Qué es Black Basta y por qué es relevante para empresas españolas
Black Basta: ficha del grupo de ransomware
- Tipo: Ransomware-as-a-Service (RaaS)
- Activo desde: Abril 2022
- Modelo: Doble extorsión (cifrado + publicación de datos robados)
- Víctimas estimadas: Más de 500 organizaciones globalmente (CISA, Mayo 2024)
- Sectores atacados: Tecnología, infraestructuras críticas, sanidad, manufactura
- Técnicas de entrada: Phishing, explotación de vulnerabilidades, compra de credenciales en foros underground
- Infraestructura: Servidor de filtraciones en red Tor para publicar datos de víctimas que no pagan
- Vinculación: HC3/HHS planteó en su perfil de marzo de 2023 una posible relación de Black Basta con el extinto grupo Conti (HC3, Threat Profile: Black Basta)
Black Basta fue uno de los grupos de ransomware más prolíficos y sofisticados del panorama global. Desde su aparición en abril de 2022 comprometió a más de 500 organizaciones en todo el mundo, según la alerta conjunta de CISA, FBI, HHS y MS-ISAC de mayo de 2024. El pasado es deliberado: su portal de filtraciones no registra una víctima nueva desde el 11 de enero de 2025 (Ransomware.live), y el recuento total de entradas se quedó en 523 — coherente con esas «más de 500». La filtración de sus chats internos llegó después, en febrero de 2025. Su modelo de negocio se basa en la doble extorsión: primero exfiltran los datos de la víctima y después cifran los sistemas, exigiendo un rescate tanto por la clave de descifrado como por no publicar la información robada.
El caso de Ayesa no es aislado en España. Empresas españolas de todos los sectores han sido víctimas de grupos de ransomware en los últimos dos años. La diferencia en este caso es que la AEPD no sancionó el ataque en sí, sino la falta de medidas de seguridad adecuadas: la infracción apreciada fue la del art. 5.1.f del RGPD, no la comunicación a los afectados que originó la denuncia.
Por qué las empresas minimizan las brechas
En mi experiencia como perito informático forense, he observado que las empresas tienden a subestimar el alcance de las filtraciones por varias razones:
Análisis forense incompleto: sin un análisis forense digital riguroso, es difícil determinar exactamente qué datos fueron exfiltrados. Muchas empresas basan su evaluación en los registros de acceso disponibles, que a menudo son incompletos o han sido manipulados por los atacantes.
Presión reputacional: comunicar a cientos o miles de empleados que sus DNI y pasaportes están en la dark web tiene un impacto reputacional y legal enorme. Existe una tensión natural entre la obligación de transparencia del RGPD y el instinto de proteger la imagen corporativa.
Falta de herramientas de monitorización: sin sistemas de detección y respuesta (EDR) adecuados, muchas organizaciones no pueden reconstruir la línea temporal completa del ataque ni determinar qué datos fueron extraídos.
Implicaciones para empresas españolas
El caso deja un precedente útil, y no es el que suele contarse. Alía actuaba ordinariamente como encargada del tratamiento de los sistemas comprometidos, pero la AEPD aplicó el art. 28.10 del RGPD y la consideró responsable de todos los tratamientos afectados por su decisión sobre una medida de seguridad. Para cualquier empresa que asuma la gestión de infraestructura ajena, esa es la lección — quien determina los medios de un tratamiento responde como responsable, aunque el contrato lo llame encargo.
Plan de respuesta ante ransomware: lo que exige la normativa
Contención inmediata y preservación de evidencia digital: aislar los sistemas comprometidos sin destruir las pruebas. Conviene contar con apoyo pericial cuanto antes para preservar la integridad de la evidencia y documentar la cadena de custodia.
Análisis forense para determinar el alcance real: identificar qué datos fueron exfiltrados, cuándo se produjo el acceso, qué sistemas fueron comprometidos y a cuántas personas afecta. Conocer el alcance ayuda a comunicar con precisión conforme al art. 34, sin retrasar por ello las comunicaciones exigibles.
Notificación a la AEPD (art. 33 RGPD): el responsable notifica la brecha a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para las personas; si se supera el plazo, debe justificar la dilación.
Comunicación a los afectados sin dilación indebida (art. 34 RGPD): si la brecha entraña un alto riesgo para los derechos y libertades de las personas (como cuando se filtran DNI, pasaportes o datos financieros), hay que informar individualmente a cada afectado con un lenguaje claro y llano.
Documentación completa del incidente: registrar todas las decisiones, acciones y comunicaciones relacionadas con la brecha. Esta documentación será clave si la AEPD abre una investigación posterior.
El papel del perito informático forense en brechas de ransomware
En un caso como el de Ayesa, el perito informático forense cumple una función esencial en varias fases del proceso:
| Fase | Función del perito | Relevancia para el expediente AEPD |
|---|---|---|
| Respuesta inicial | Preservación de evidencias, aislamiento de sistemas, volcado de memoria RAM | Ayuda a preservar las pruebas para su uso en procedimientos judiciales y administrativos |
| Análisis forense | Determinación del vector de entrada, cronología del ataque, identificación de datos exfiltrados | Permite conocer el alcance real de la brecha para cumplir el art. 34 RGPD |
| Informe pericial | Documentación técnica del incidente con metodología ISO 27037 | Sirve como prueba ante la AEPD, juzgados y aseguradoras |
| Monitorización dark web | Verificación de datos publicados, alcance de la filtración | Permite identificar afectados cuyos datos se localicen, más allá de los detectados inicialmente |
| Soporte a reclamaciones | Análisis de daños, cuantificación de la exposición, peritaje para reclamaciones | Fundamenta las reclamaciones de empleados afectados ante la empresa o ante la jurisdicción civil |
La diferencia entre un análisis forense riguroso y una evaluación superficial puede ser la diferencia entre partir de una comunicación inicial de 35 personas y constatar que los datos de decenas de miles están expuestos, como reflejó el expediente de este caso.
Cómo reclamar si tus datos fueron filtrados en el ataque a Ayesa
Si eres empleado o exempleado de Ayesa y sospechas que tus datos personales pudieron verse afectados por el ciberataque de Black Basta, estos son los pasos que puedes seguir:
Solicita información a Ayesa: como interesado, tienes derecho a que el responsable del tratamiento te informe de si tus datos fueron comprometidos, qué categorías de datos se vieron afectadas y qué medidas se han adoptado. Ejerce tu derecho de acceso por escrito (art. 15 RGPD).
Monitoriza tus documentos de identidad: si sospechas que tu DNI o pasaporte fue filtrado, vigila movimientos bancarios inusuales, solicitudes de crédito que no hayas realizado y comunicaciones sospechosas. Considera solicitar un nuevo DNI o pasaporte como medida preventiva.
Presenta una reclamación ante la AEPD: si Ayesa no te informó adecuadamente de la brecha o no atendió tu solicitud de información, puedes presentar una reclamación directamente en la sede electrónica de la AEPD. Es gratuito y no requiere abogado.
Recopila y certifica la evidencia: un perito informático forense puede certificar las evidencias digitales que respalden tu reclamación: capturas de la dark web donde aparezcan tus datos, comunicaciones con la empresa, timeline del ataque y la notificación recibida (o no recibida).
Valora la reclamación de daños y perjuicios: el artículo 82 del RGPD reconoce el derecho a indemnización por daños materiales o inmateriales derivados de una infracción del reglamento. Si tus datos de identidad fueron filtrados y puedes acreditar un perjuicio (suplantación, estrés, gastos de renovación de documentos), podrías reclamar ante la jurisdicción civil.
Preguntas frecuentes
¿Qué sanciones puede imponer la AEPD a Ayesa?
En este expediente la infracción apreciada fue la del art. 5.1.f) del RGPD y la sanción, 250.000 € reducidos a 150.000 €. El art. 83.5 permite llegar a 20 millones o al 4 % de la facturación global, pero ese techo es teórico: lo que fija el importe son los criterios del art. 83.2. En este expediente, la sanción quedó en 250.000 € (150.000 tras las reducciones), muy por debajo de ese máximo. Puede consultarse el detalle en la resolución.
¿Puedo saber si mis datos están en la dark web tras el ataque a Ayesa?
Verificar si tus datos aparecen en la dark web requiere herramientas especializadas y conocimiento técnico. Como particular, puedes utilizar servicios como Have I Been Pwned para comprobar si tu email ha aparecido en filtraciones conocidas. Sin embargo, para una comprobación más amplia que incluya documentos de identidad, archivos corporativos y datos personales publicados en foros de la dark web, un análisis profesional puede ampliarla. Un perito informático forense con acceso a plataformas de inteligencia de amenazas puede realizar esa comprobación y emitir un informe pericial que documente los hallazgos, útil como prueba ante la AEPD o ante un tribunal.
¿Qué diferencia hay entre notificar a la AEPD (art. 33) y comunicar a los afectados (art. 34)?
Son dos obligaciones distintas y complementarias del RGPD. El artículo 33 obliga al responsable del tratamiento a notificar la brecha a la autoridad de control (en España, la AEPD) sin dilación indebida y, de ser posible, dentro de las 72 horas siguientes a tener conocimiento de la violación de seguridad. El artículo 34 obliga a comunicar la brecha directamente a cada persona afectada cuando la violación entrañe un “alto riesgo” para sus derechos y libertades. La filtración de DNI y pasaportes constituye, sin duda alguna, un alto riesgo: permite la suplantación de identidad, el fraude financiero y otras formas de perjuicio directo. En el caso de Ayesa, aunque la denuncia sindical se refería a la comunicación a los afectados, la infracción que la AEPD apreció y sancionó fue la del art. 5.1.f del RGPD (deficiencias en las medidas de seguridad), no la del art. 34.
¿Tu empresa ha sufrido un ciberataque de ransomware?
Análisis forense de ransomware, determinación del alcance real de la brecha, informe pericial para la AEPD y soporte a reclamaciones de afectados. Metodología ISO 27037. Primera consulta gratuita.
Fuentes y referencias
Andalucía Información. Protección de Datos abre expediente sancionador contra Ayesa por el ciberataque, 20 de febrero de 2026. · Viva Sevilla, misma crónica. (Las dos URL que figuraban aquí terminaban en
20260220120000000000—«a las 12:00:00.000000000»— y daban 404: era un identificador de relleno. Las buenas ya estaban en el cuerpo del artículo.)forLOPD (2026). “La AEPD abre expediente sancionador a Ayesa tras la filtración masiva de datos en un ciberataque”. Feb 2026. https://forlopd.es/la-aepd-abre-expediente-sancionador-a-ayesa-tras-la-filtracion-masiva-de-datos-en-un-ciberataque/
CISA, FBI, HHS, MS-ISAC (2024). “StopRansomware: Black Basta”. Advisory AA24-131A, 10 May 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-131a
Reglamento (UE) 2016/679 (RGPD). Artículos 33, 34, 82 y 83. https://eur-lex.europa.eu/eli/reg/2016/679/oj
AEPD. Guía para la notificación de brechas de datos personales, versión de junio de 2021. PDF de la guía
INCIBE. Balance de ciberseguridad 2025: 122.223 incidentes gestionados, publicado en febrero de 2026. (Aquí se fechaba como «Balance 2024, ene 2025»: los 122.223 son los incidentes de 2025, como consta en el resto del sitio.)
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). https://www.boe.es/eli/es/lo/2018/12/05/3
Sobre el autor: Jonathan Izquierdo es perito informático forense. Ex-CTO y arquitecto cloud con más de 20 años en el sector tecnológico y 5 certificaciones AWS, ejerce como perito judicial desde 2025 y aplica metodología ISO 27037 en todas sus investigaciones. Esa trayectoria técnica es la que permite analizar por dentro los sistemas que se peritan.
Última actualización: Septiembre 2026.
