El hackeo de la PAC en Andalucía ha abierto una investigación policial tras un acceso no autorizado a datos históricos de beneficiarios de ayudas directas gestionados por una empresa contratada por la Consejería de Agricultura, mientras la Junta asegura que sus sistemas propios y los pagos actuales no se han visto afectados.
Hackeo de la PAC en Andalucía: datos históricos bajo investigación
La Policía Nacional investiga un hackeo a una empresa contratada por la Consejería de Agricultura de la Junta de Andalucía que habría afectado a datos de beneficiarios andaluces de ayudas directas de la Política Agraria Común. La información comprometida corresponde a expedientes de solicitantes de ayudas de la PAC de los periodos comprendidos entre 2005 y 2012 y del ejercicio 2016, según la información confirmada por la Administración autonómica a Europa Press.
La incidencia se produjo en sistemas de una empresa externa y no en las infraestructuras informáticas propias de la Junta de Andalucía. La Consejería sostiene que el acceso indebido no ha afectado a los sistemas autonómicos y que se han establecido medidas de monitorización estrictas para detectar posibles actuaciones sospechosas o maliciosas.
La Junta también ha trasladado que la brecha no compromete la tramitación ni el pago de las ayudas actuales. Este punto resulta clave para delimitar el alcance inicial del caso: la investigación se centra en datos históricos conservados por una compañía prestadora de servicios, no en una interrupción de los pagos presentes ni en una intrusión declarada sobre las plataformas de la Administración autonómica.
La empresa afectada, identificada como Tecnoabi en la información confirmada por la Consejería, comunicó a la Administración que la “violación de la seguridad” comprende ficheros de una base de datos personales conservados por la compañía y relativos a solicitantes de ayudas directas de la PAC entre los ejercicios señalados. La empresa puso los hechos en conocimiento de la Policía y de la Agencia Española de Protección de Datos.
Qué datos se han expuesto y cuántos afectados hay
La principal incógnita sigue siendo qué datos concretos han quedado expuestos. La información conocida apunta a ficheros de una base de datos personales, pero no precisa si entre ellos figuran datos de identificación, importes percibidos, domicilios, cuentas bancarias, teléfonos, correos electrónicos u otra información asociada a los expedientes de ayudas.
Ese extremo es determinante para valorar el riesgo real para los beneficiarios. No tiene el mismo impacto una exposición limitada a datos administrativos básicos que una brecha que incluya información financiera, vías de contacto o datos que puedan utilizarse para suplantación de identidad, fraude, intentos de phishing o comunicaciones engañosas dirigidas a agricultores y perceptores de subvenciones.
También queda por aclarar cuántas personas físicas o jurídicas pueden estar afectadas. La PAC mueve un volumen elevado de expedientes y pagos en Andalucía, una comunidad con un peso agrario destacado, por lo que la dimensión del incidente dependerá del número de registros comprometidos y del tipo de información incluida en esos ficheros.
La utilidad pública de esta información es evidente. Los posibles afectados necesitan saber si deben adoptar medidas preventivas, revisar comunicaciones recibidas, desconfiar de mensajes que soliciten información personal o bancaria, o extremar la vigilancia ante contactos que utilicen datos reales para ganar credibilidad.
La propia Junta ha recomendado a los posibles afectados prestar especial atención a comunicaciones sospechosas, evitar responder a solicitudes dudosas de información, no pinchar en enlaces de fuentes desconocidas, desconfiar de correos electrónicos, llamadas o mensajes cuyo remitente no esté identificado y no facilitar claves de acceso, datos bancarios o datos de tarjetas.
La obligación de notificar y el papel de las autoridades de control
La gestión de una brecha de datos personales no termina con la denuncia policial. La Agencia Española de Protección de Datos establece que, cuando se produzca una violación de seguridad de datos personales, el responsable debe notificarla a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes a tener constancia de ella, salvo que sea improbable que implique un riesgo para los derechos y libertades de las personas.
En el ámbito andaluz, la sede electrónica de la Junta recoge que la notificación al Consejo de Transparencia y Protección de Datos de Andalucía debe describir, cuando sea posible, la naturaleza de la brecha, las categorías y número aproximado de personas afectadas, las categorías y número aproximado de registros comprometidos, las posibles consecuencias y las medidas adoptadas o propuestas para remediarla.
La Consejería ha indicado que, tras conocer el incidente en la empresa externa, activó los protocolos y procedimientos de seguridad, adoptó medidas técnicas y organizativas para mitigar sus efectos y prevenir nuevos episodios, y lo comunicó al Consejo de Transparencia y Protección de Datos de Andalucía.
Además, la AEPD recuerda que los afectados deben ser informados cuando sea probable que la brecha entrañe un alto riesgo para sus derechos o libertades, con el objetivo de que puedan reaccionar cuanto antes y evitar posibles consecuencias negativas.
Por ello, una de las cuestiones pendientes es si los beneficiarios afectados serán notificados individualmente, con qué información concreta y en qué plazo. La comunicación pública de recomendaciones generales puede ser útil, pero no sustituye necesariamente la necesidad de informar de forma directa cuando el riesgo lo exija.
Un caso sensible por el peso de la PAC en Andalucía
El caso adquiere especial relevancia por el tipo de información afectada. Los datos agrarios y de beneficiarios de subvenciones públicas son especialmente sensibles desde el punto de vista administrativo, económico y de confianza institucional, aunque no todos los datos personales tienen el mismo nivel de riesgo. La clave está en conocer el contenido real de los ficheros comprometidos y el uso que hayan podido hacer de ellos los autores del acceso no autorizado.
La investigación policial deberá determinar cómo se produjo el ataque, qué vulnerabilidades fueron aprovechadas, si hubo descarga, copia o difusión de información, y si los datos han sido utilizados o puestos a disposición de terceros. También deberá aclarar si la información se encontraba adecuadamente protegida y por qué la empresa conservaba esos ficheros históricos.
El hecho de que los datos correspondan a ejercicios antiguos no elimina el riesgo. Información personal de 2005 a 2012 y de 2016 puede seguir siendo útil para intentos de fraude si permite identificar a beneficiarios, vincularlos con ayudas públicas o construir mensajes engañosos con apariencia de veracidad.
La Junta sostiene que sus sistemas no han sido comprometidos y que los pagos actuales no están afectados. Aun así, el caso exige transparencia sobre el alcance exacto de la brecha, las obligaciones de la empresa contratada, las medidas adoptadas por la Administración y la comunicación a los afectados. La prioridad ahora no es solo resolver la investigación policial, sino ofrecer certezas a quienes puedan estar expuestos.
