English
Español
El ciberataque a Transport for London (TfL) en 2024 comprometió los datos personales de aproximadamente 10 millones de personas, según reveló una investigación de la BBC.
El incidente se considera uno de los mayores robos de datos en la historia del Reino Unido y ha reabierto el debate sobre la transparencia en la notificación de filtraciones de información.
TfL hack in 2024 affected around 10 million people, BBC can reveal https://t.co/ePFcO3gzDS
— BBC News (UK) (@BBCNews) March 6, 2026
Cuando el ataque se hizo público, TfL informó únicamente que “algunos clientes” habían sido afectados. Sin embargo, la investigación posterior demostró que la magnitud real era mucho mayor.
El ataque ocurrió entre finales de agosto y principios de septiembre de 2024 y fue atribuido al grupo criminal Scattered Spider, especializado en ataques contra grandes organizaciones.
Aunque el sistema de transporte de Londres no se vio interrumpido, el incidente provocó la caída de varios servicios digitales y paneles informativos, además de generar 39 millones de libras en daños económicos.
¿Qué datos fueron robados en el ciberataque a TfL?
Tras analizar una copia de la base de datos filtrada, la BBC confirmó que los atacantes descargaron millones de registros con información personal.
Entre los datos comprometidos se incluyen:
- Nombres completos
- Direcciones de correo electrónico
- Números de teléfono
- Direcciones postales
El archivo contiene cerca de 15 millones de líneas de datos, aunque parte podrían ser duplicados, situando el número real de afectados en torno a 10 millones de personas.
La base fue compartida con la BBC por una persona vinculada al entorno de los hackers. Tras verificar su autenticidad, el medio eliminó la copia por motivos de seguridad.
Incluso el periodista que investigó el caso confirmó que sus propios datos aparecían en la filtración, lo que demuestra su alcance.
TFL still having major issues after hack pic.twitter.com/YTjkZpbTTk
— Tim (still totally unremarkable) (@forwardnotback) September 10, 2024
Notificaciones enviadas, pero millones no informados
TfL reconoció que envió correos electrónicos a más de 7 millones de clientes para informarles del incidente.
Sin embargo, la tasa de apertura fue del 58 %, lo que significa que millones de usuarios podrían no haber leído la notificación.
Además, no todos los clientes tenían un correo electrónico actualizado vinculado a su cuenta.
Un portavoz de TfL declaró:
Riesgos tras una filtración de datos
Aunque las autoridades consideran que el riesgo inmediato es bajo, los expertos advierten que las filtraciones pueden tener consecuencias a largo plazo.
Las bases de datos robadas suelen circular en foros clandestinos y pueden utilizarse para:
- Fraudes financieros
- Campañas de phishing
- Suplantación de identidad
Hasta el momento no hay pruebas de que los datos hayan sido utilizados en ataques secundarios.
¿Hubo datos bancarios comprometidos?
TfL identificó inicialmente a unos 5.000 clientes con mayor nivel de riesgo, ya que podría haberse accedido a información relacionada con reembolsos de tarjetas Oyster, incluyendo posibles datos bancarios.
Como medida preventiva, la empresa contactó directamente con estas personas por correo electrónico y carta.
Debate sobre transparencia en el Reino Unido
El caso ha reabierto el debate sobre la transparencia en la comunicación de ciberataques.
En el Reino Unido, las empresas no están obligadas legalmente a revelar el número exacto de afectados por una filtración.
En otros países, las compañías suelen publicar cifras detalladas tras incidentes de seguridad, lo que los expertos consideran una buena práctica.
Especialistas en protección de datos señalan que conocer la magnitud real de una brecha es clave para prevenir fraudes futuros.
Sin sanciones regulatorias
La Oficina del Comisionado de Información del Reino Unido (ICO) decidió no imponer sanciones a TfL.
El regulador concluyó en febrero de 2025 que no era necesaria una acción adicional tras analizar el incidente.
No obstante, indicó que la empresa deberá informar si surgen nuevos datos que cambien la evaluación de riesgo.
Dos adolescentes serán juzgados
El proceso judicial continúa. Dos adolescentes británicos acusados del hackeo serán juzgados en junio de 2026.
El caso podría aportar más información sobre uno de los mayores ciberataques sufridos por una infraestructura pública británica.
Fuentes Noticias:
https://www.bbc.com/news/articles
Crédito Imágenes:
Foto:
Transport for London – geograph.org.uk, Anthony O’Neil, Creative Commons Attribution-Share Alike 2.0 Generic,Wikimedia Commons https://w.wiki/JCeS
