Aterrador… Esta es la palabra que me viene inmediatamente a la mente al leer el informe de la CNIL que sanciona a Free Mobile tras su filtración masiva de datos en octubre de 2024. Angustioso es la segunda palabra que viene inmediatamente detrás. ¡Porque las infracciones de Free Mobile y Free en términos de ciberseguridad merecen sin duda la sanción de 42 millones de euros que le acaba de imponer la CNIL!
Se trata de una de las filtraciones de datos más graves jamás sufridas por un operador francés. El ciberataque contra Free Mobile en octubre de 2024 expuso más de 24 millones de contratos, incluidos más de 19 millones de registros de clientes de Free Mobile y hasta 5 millones de IBAN en contratos «fijos». Sin embargo, se trata de un ataque perpetrado por un menor de 16 años, acusado en enero de 2025. ¡Y se presentaron de manera muy oficial 2.614 denuncias ante la CNIL por esta violación de datos!
Entonces, ante tal derrota, la CNIL decidió atacar con fuerza. En su deliberación SAN-2026-001 (8 de enero de 2026), publicada el 14 de enero, la autoridad impone multa administrativa a Móvil Libre de 27 millones de eurosacompañado de una orden judicial y una multa de 50.000 euros por día de retraso. A esto se suma una multa de 15 millones de euros contra Libre.
Y veréis que esta multa récord castiga infracciones muy graves en materia de ciberseguridad, un cúmulo de malas prácticas que parecen totalmente inverosímiles diez años después de la entrada en vigor del RGPD (esto fue el 24 de mayo de 2016 con aplicación obligatoria el 25 de mayo de 2018).
Un pequeño recordatorio a modo de preámbulo.
La intrusión comenzó con una conexión a la VPN del operador y luego con el acceso a la herramienta empresarial de gestión de abonados, conocida como MOBO, que permitía realizar búsquedas y visualizar datos de los clientes a través de una función de consulta. A través de esta vía de acceso, el atacante pudo leer datos de identidad, datos de contacto, información contractual y, en el caso de clientes convergentes, información bancaria como el IBAN. La CNIL señala que una anomalía técnica que se produjo durante una actualización permitió la visualización completa del IBAN para ciertos perfiles, anomalía que se corrigió sólo después del descubrimiento de la filtración.
Principales deficiencias destacadas
En su deliberación sobre la sanción, la CNIL señala varias deficiencias concretas y pinta un panorama edificante de las deficiencias de Free Mobile, en particular en torno a tres obligaciones clave del RGPD.
Primero, el operador está fijado a retención excesiva de datoscon información de antiguos suscriptores mantenida más allá de los períodos anunciados, debido a la falta de una purga verdaderamente operativa y a la falta de una clasificación estricta entre lo que debe eliminarse y lo que puede conservarse por más tiempo. La CNIL constató decenas de miles de cuentas canceladas hace más de diez años y cuya eliminación no ha sido probada.
Entonces, la autoridad detecta un defecto de seguridad en el sentido del artículo 32 del RGPD, no en un punto aislado sino en toda una cadena de acceso, que permitió a un atacante conectarse a través de la VPN, circular en la red interna y explotar la herramienta de gestión de abonados MOBO. La CNIL señala la insuficiencia de dispositivos para detectar y analizar comportamientos anormales en la VPN, la red interna y la herramienta MOBO, aunque el registro y su explotación en tiempo real son requisitos previos para detectar y responder a una intrusión. La CNIL también destaca la puntuación de las conexiones VPN configuradas de forma demasiado permisiva y añade una queja relacionada con el almacenamiento de las contraseñas de los usuarios de MOBO, que se considera que no respeta el mínimo esperado, incluso si esta debilidad no se aprovechó durante el ataque.
Finalmente, la autoridad también destacó la ausencia deAutenticación sólida y autenticación de estaciones de trabajo nómadas. para asegurar el acceso VPN, mientras que la ANSSI y la CNIL recomiendan desde hace años el uso de certificados de máquina y autenticación multifactor para el nomadismo digital.
Al mismo tiempo, Free Mobile también es sancionada por la información de las personas interesadas se considera insuficienteporque los primeros mensajes enviados tras el descubrimiento de la infracción no explicaban con suficiente claridad las probables consecuencias, las medidas correctoras y las recomendaciones útiles para permitir a los abonados protegerse.
En general, la CNIL conserva la imagen de una organización que no ha industrializado los fundamentos de la ciberseguridad y el cumplimiento, que sin embargo son esenciales a escala de operador, la eliminación efectiva de datos, el endurecimiento del acceso, la capacidad de detección y la transparencia operativa hacia las personas expuestas.
Una sanción lógica contra una gestión inaceptable
A nivel jurídico, la CNIL recuerda que la obligación de seguridad del RGPD es una obligación de medios pero que esta obligación implica, no obstante, medidas adaptadas al estado de la técnica y al riesgo, y que la mera ocurrencia de una violación no es suficiente para exonerar a un responsable del tratamiento. En otras palabras, no les pedimos que sean invulnerables, pero esperamos que apliquen las reglas básicas que la ANSSI y la CNIL vienen insistiendo desde hace años.
Es sorprendente observar que un actor de infraestructura, custodio de identidades, detalles de contacto, historiales contractuales y datos financieros de decenas de millones de suscriptores, pudo dejar que un hacker navegara a través de su SI durante casi un mes (sin detectar las señales más obvias) y pudo invocar “limitaciones técnicas” para explicar que no se completó un mecanismo de purga a pesar de que tiene los medios humanos y financieros para hacerlo. La justificación de que la eliminación masiva de datos plantearía el riesgo de bloquear los servicios empresariales sugiere que la arquitectura SI fue diseñada sin el más mínimo interés en su cumplimiento. Retener datos de antiguos suscriptores “potencialmente indefinidamente” porque una purga a gran escala es compleja es precisamente lo que prohíbe el RGPD.
Finalmente, es importante señalar que Free Mobile no esperó a que la sanción reaccionara. El operador inició acciones correctivas durante el proceso, incluido el despliegue de un Centro de Operaciones de Seguridad (SOC), el establecimiento de equipos de respuesta a incidentes y un monitoreo mejorado para MOBO y VPN. Tantas defensas cibernéticas que en realidad deberían haber existido mucho antes del incidente.
En última instancia, esta deliberación sirve tanto como una señal industrial como un llamado al orden. La CNIL no sanciona a una empresa porque ha sido atacada, sanciona a un operador porque las salvaguardias básicas no estaban a la altura, aunque la naturaleza de su profesión la sitúa en el centro de la vida digital de millones de franceses.
Lea también:
600 socios activos para Free Pro
Free podría afrontar una multa de 48 millones de euros
Clientes libres víctimas de campañas de phishing
CNIL, filtrado web y GDPR – Cuando la ley se encuentra con la tecnología…
Con Cloud XPR, Free revela sus ambiciones en la nube híbrida
[
