Brecha de seguridad en Decathlon España deja expuestos datos de decenas de miles de clientes

Una brecha de seguridad ha dejado al descubierto datos de 36.704 clientes de Decathlon España, según una confirmación de la compañía de la que se han hecho eco en Hipertextual. En total han quedado expuestos más de 123 millones de registros. La mayoría de ellos se corresponden eso sí, con datos de empleados y tiendas de Decathlon.

Los descubridores de esta brecha en el sistema, que está alojado en ElasticSearch, han sido expertos de la empresa de ciberseguridad vpnMentor, que localizó la filtración el pasado 12 de febrero. En principio no sabían de qué empresa procedían los datos, aunque cuatro días más tarde consiguieron identificar a Decathlon. Según las conclusiones a las que llegaron, la mayoría de datos de clientes correspondían a Decathlon España, aunque también parecía haber información de clientes del grupo en Reino Unido.

En total, los datos que han quedado expuestos ocupan alrededor de 9 GB de espacio. Entre ellos hay usuarios y contraseñas de empleados de Decathlon España, almacenados sin cifrar. También hay números de móvil y de la seguridad social. También los periodos de contratación de diferentes trabajadores, así como direcciones de correo electrónico de clientes, fechas de nacimiento, dirección de su domicilio o nacionalidad. Hasta 20 tipos de datos distintos correspondientes a los empleados de la compañía sí quedaron al descubierto.

Eso sí, esta filtración no ha afectado a datos sensibles de clientes, y según información de un comunicado del establecimiento afectado que ha recogido Europa Press, solo un 0,03% de los datos expuestos corresponden a clientes. El otro 99,97% de los datos corresponden a información técnica propia de la compañía.

Desde Decathlon España confirman que entre los datos expuestos no hay contraseñas de clientes, ni datos de tarjetas de crédito o débito. Tampoco ningún otro tipo de información sensible, y que el problema que causó el incidente ha quedado solucionado de manera inmediata. el 17 de febrero pasado, la base de datos que estaba expuesta quedó cerrada.