¿Está tu empresa preparada para gestionar una brecha de seguridad? Protege tu activo más valioso: la información de tus clientes

El próximo 28 de enero se celebra el Día Internacional de la Protección de Datos Personales, una fecha dedicada a concienciar sobre la importancia de garantizar la seguridad de la información en un entorno digital cada vez más complejo. En este contexto, cobra especial relevancia analizar cómo están respondiendo las empresas ante el aumento de ciberataques y brechas de seguridad que afectan a millones de usuarios en todo el mundo.

Aumento de ciberataques: ¿están los datos de tu empresa realmente protegidos?

Durante el año 2025 –y todo indica que 2026 seguirá la misma tendencia– las grandes empresas internacionales, muchas de ellas utilizadas por millones de consumidores, han sido objeto de ciberataques cada vez más frecuentes. Como consecuencia, nuestros datos personales y nuestra privacidad pueden verse gravemente comprometidos.

Cada vez es más habitual que, como usuarios, recibimos notificaciones de compañías informando sobre incidentes relacionados con brechas de seguridad. En los últimos meses, tres grandes empresas –Mango, OpenAIy Endesa– han sufrido incidentes de este tipo. Pero ¿qué implica para ti, como cliente o usuario, recibir una notificación de este tipo?

No todas las brechas requieren comunicación a la Agencia Española de Protección de Datos (AEPD) ni a los afectados. Según el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), la notificación es obligatoria únicamente cuando el incidente supone un riesgo real para los derechos y libertades de las personas. Por tanto, si una empresa te informa, es porque la afectación es significativa.

¿Qué ha pasado en los casos de Mango, OpenAI y Endesa?

Mango

La empresa textil sufrió un acceso no autorizado a datos personales a través de un servicio de marketing externo. Aunque no se comprometieron datos sensibles como el DNI o información bancaria, sí se vieron afectados el nombre, correo electrónico, país de origen, código postal y teléfono.

Mango, como consecuencia, activó sus protocolos de seguridad y notificó tanto a la AEPD como a los clientes afectados por el ciberataque.

Para ti, como usuario, un ciberataque de esta naturaleza puede aumentar el riesgo de recibir campañas de phishing, con mensajes masivos con enlaces maliciosos o archivos fraudulentos que aparentan proceder de la entidad legítima. Los ciberdelincuentes, al disponer de información suficiente sobre los afectados, pueden elaborar comunicaciones creíbles y personalizadas, facilitando el engaño y la probabilidad de interactuar con el contenido malicioso.

Por ello, aunque la empresa alerte y notifique el incidente, siempre recomienda extremar la precaución ante correos sospechosos: revisa el número de teléfono, el correo electrónico (o cualquier otro método de contacto), el remitente y el contenido del correo antes de interactuar.

OpenAI

El gigante tecnológico OpenAI comunicó una brecha en el sistema de su API, utilizada por desarrolladores para integrar servicios en sus productos. El incidente se originó en Mixpanel, una empresa colaboradora encargada del análisis masivo de datos.

Los atacantes accedieron a parte de los sistemas y exportaron información identificativa y analítica como el nombre asociado a la cuenta, correo electrónico, ubicación aproximada, sistema operativo, navegador, sitios web de referencia o el ID de organización o usuario.

La empresa aclaró que el contenido de los chats, mensajes y datos de uso de la API no se vio afectado.

Endesa

Recientemente, a comienzos de 2026, la empresa energética Endesa notificó a sus clientes un ciberataque especialmente grave. En apenas dos horas y media, el ciberdelincuente consiguió acceder a números de contacto, DNI, datos energéticos e incluso medios de pago de más de 20 millones de usuarios. Aquí ya hablamos de datos bancarios, por lo que el riesgo es mucho mayor.

La compañía informó a la AEPD y alertó a los usuarios para extremar la precaución ante comunicaciones anómalas o sospechosas.

El riesgo no termina con la notificación de la brecha

Informar a la AEPD y a los afectados no implica que el riesgo esté controlado o que haya desaparecido. Las consecuencias pueden prolongarse en el tiempo, por lo que es imprescindible adoptar medidas preventivas y reactivas.

En consecuencia, es imprescindible que:

• Como usuario, en caso de recibir este tipo de notificaciones por parte de compañías afectadas por brechas de seguridad, revises siempre la autenticidad de las comunicaciones, no facilites datos personales en enlaces dudosos y actives medidas como el doble factor de autenticación siempre que sea posible. También puedes considerar denunciar ante la AEPD o reclamar por la vía legal si procede.
• Como empresa, para minimizar el riesgo de brechas en tu organización, refuerza tus medidas organizativas y técnicas, todo ello para proteger la información de tus clientes y usuarios, dado que estos datos constituyen uno de los activos más valiosos y pueden presentar riesgos que afectan a sus derechos fundamentales, lo cual se puede trasladar en reclamaciones para tu empresa.

En este sentido, es fundamental que implementes protocolos internos claros, como:

• Disponer de medidas de seguridad informáticas adecuadas a nivel interno y protocolos de detección y gestión de brechas de seguridad.
• Trabajar con proveedores que tengan medidas de seguridad adecuadas y disponer de circuitos que permitan verificar que los proveedores cumplen con dichas medidas de seguridad.
• Formar a tus equipos en el día a día del adecuado tratamiento de datos y aspectos vinculados a la ciberseguridad.

¿Crees que tu empresa está preparada para afrontar una brecha de seguridad?

Si no dispones de un protocolo claro, ni de medidas organizativas y técnicas adecuadas, estás asumiendo un riesgo innecesario.

Actuar rápido es clave cuando se produce un ciberataque, y la falta de organización puede incrementar el impacto económico, reputacional y legal para tu empresa.

¿Cómo podemos ayudarte desde AGM Abogados?

En AGM Abogados ayudamos a empresas y organizaciones a:

• Diseñar planes de detección, gestión y respuesta ante incidentes de ciberseguridad, garantizando una actuación rápida y eficaz.
• Cumplir con la normativa vigente, especialmente el RGPD y la LOPDGDD, así como otras normativas vinculadas a la ciberseguridad que afectan a tu negocio, minimizando los riesgos y posibles consecuencias que se pueden derivar.
• Cuando se produce una brecha, acompañar y asesorar en todo el proceso, desde la detección del incidente hasta la implementación de medidas correctivas.
• Minimizar los riesgos derivados de brechas de seguridad, protegiendo la información y la confianza de tus clientes.
• Formar a tus equipos en protección de datos, ciberseguridad, uso de IA y nuevas tecnologías.

Si todavía no has puesto en marcha estas medidas, o tu empresa ha sufrido una brecha de seguridad, te recomendamos contactar con nosotros para asesorarte.

Te puede interesar

Si quieres saber más sobre qué son las brechas de seguridad, te recomendamos leer: Qué hacer ante una brecha de seguridad en tu empresa. Además, es importante contar con una póliza o seguro de ciberriesgo, como recomienda nuestro Socio Sergio López.