Os maiores ataques cibernéticos na Espanha

O ano de 2026 começou mal para as organizações espanholas. Somente nas primeiras semanas do ano, foi confirmada uma violação de segurança na Endesa, o Ministério da Fazenda abriu uma investigação sobre uma invasão, e o porto de Vigo, a rede de academias Basic Fit, a Inditex e o grupo de supermercados Ahorramás foram todos apontados como alvos.

O ano anterior também não foi mais tranquilo: a Telefónica, o El Corte Inglés, a Mango, o Santander e o ING tiveram os dados de seus clientes expostos. Este artigo aborda oito casos documentados, o que realmente vazou e o padrão que conecta quase todos eles.

Os maiores ataques cibernéticos na Espanha

1. Endesa (2026): 20 milhões de clientes declarados

A empresa de energia confirmou uma violação de segurança na qual dados pessoais de clientes foram expostos, incluindo dados de contato, números de DNI, números de conta bancária IBAN e detalhes de contratos. Um agente mal-intencionado que atua sob o pseudônimo “Spain” alegou ter extraído um banco de dados de mais de um terabyte contendo informações sobre mais de 20 milhões de pessoas.

A Endesa notificou os clientes afetados, e o INCIBE, o instituto nacional espanhol de segurança cibernética, emitiu um comunicado público.

2. Ministério da Fazenda (2026): uma investigação envolvendo 47 milhões de registros

O Ministério da Fazenda investigou uma suposta invasão em seus bancos de dados. Segundo o invasor, dados pessoais, bancários e fiscais de mais de 47 milhões de cidadãos foram comprometidos. A empresa de inteligência de ameaças Hackmanac identificou um agente que se autodenomina HaciendaSec. Esse número foi fornecido pelo invasor, e não pelo ministério, e deve ser interpretado como uma alegação, e não como um total confirmado.

3. Telefónica (2025): 22 milhões de registros de clientes

O grupo de telecomunicações sofreu uma violação que comprometeu cerca de 22 milhões de registros de clientes. A Telefónica é uma das organizações espanholas mais frequentemente alvo de ataques, em parte devido ao volume de dados de assinantes que mantém.

4. El Corte Inglés (2025): o fornecedor foi a porta de entrada

Em 2 de março de 2025, o El Corte Inglés informou aos clientes que um de seus fornecedores externos havia sofrido um acesso não autorizado a dados pessoais. Dados de identificação e informações de cartões de pagamento foram expostos, embora a empresa tenha afirmado que as informações dos cartões vazadas, por si só, não poderiam ser utilizadas para efetuar pagamentos.

O que aconteceu a seguir é o que vale a pena analisar. Em poucos dias, teve início uma campanha de smishing: criminosos se passavam pelo braço financeiro da rede varejista por meio de SMS, com o objetivo de obter credenciais de login. A organização de defesa do consumidor OCU emitiu um alerta público.

5. Mango (2025): também por meio de um fornecedor

A rede de lojas de moda sofreu uma violação de segurança quando sua agência de marketing externa permitiu o acesso não autorizado a dados pessoais. O mesmo padrão do El Corte Inglés: o invasor não entrou pela porta da frente da própria marca.

6. Usuários do Booking (2025): o ataque ocorreu após a violação

Os usuários da plataforma de viagens foram alvo de uma campanha que combinava informações de reservas roubadas com mensagens de acompanhamento convincentes. Como os criminosos possuíam detalhes reais das reservas, suas mensagens eram muito mais difíceis de ignorar do que as mensagens genéricas de phishing. Esse é o exemplo mais claro desta lista de por que os dados roubados raramente representam o fim de um incidente, mas sim o início do próximo.

7. Santander e ING (2025): milhares de clientes bancários

Ambos os bancos tiveram os dados de seus clientes comprometidos. Em um setor em que uma única mensagem convincente pode movimentar dinheiro, o valor dos dados de clientes vazados é imediato.

8. A onda de 2026: Vigo, Basic Fit, Inditex, Ahorramás

Além dos casos que ganharam destaque, as primeiras semanas de 2026 trouxeram relatos de incidentes no porto de Vigo, na rede de academias Basic Fit, na Inditex e no grupo de supermercados Ahorramás. Portos, academias, varejo: não há mais nenhum setor que pareça um alvo improvável.

O que esses ataques têm em comum

Há dois padrões que se repetem nesta lista, e nenhum deles é de natureza técnica.

O fornecedor é o ponto de entrada. No El Corte Inglés e na Mango, o invasor nunca teve acesso aos sistemas próprios da marca. Ele agiu por meio de um provedor externo que mantinha os dados dos clientes. Sua segurança é tão forte quanto a da parte com quem você compartilhou seu banco de dados, e a maioria das organizações tem dezenas delas.

A violação é o começo, não o fim. O caso do El Corte Inglés mostra isso claramente: poucos dias após o vazamento, criminosos já estavam enviando mensagens de SMS se passando pelo braço financeiro da empresa. Eles tinham dados reais dos clientes, o que tornava a mensagem credível. O mesmo aconteceu com os usuários do Booking, onde detalhes genuínos de reservas tornaram a mensagem de acompanhamento quase impossível de distinguir de uma mensagem verdadeira. O vazamento fornece o material; o ataque que custa dinheiro vem depois e tem como alvo as pessoas.

É nessa segunda etapa que uma organização ainda pode intervir. Um firewall não consegue impedir que um funcionário tome uma ação com base em uma mensagem que contenha informações precisas sobre uma transação real. Um funcionário treinado, sim. É o mesmo mecanismo por trás da isca: o invasor fornece um motivo para agir, e a decisão é tomada em segundos.

Como proteger sua organização

Backups, aplicação de patches e controle de acesso são o mínimo necessário. Além disso, três aspectos são importantes para os padrões acima:

• Verifique quem detém seus dados. Se um provedor de marketing ou parceiro de logística tiver seu banco de dados de clientes, a segurança deles passa a ser um risco para você. Pergunte o que eles fazem em termos de treinamento de conscientização, não apenas criptografia.
• Prepare-se para a segunda onda. Presuma que, em algum momento, haverá um vazamento de dados. O que determinará a gravidade do dano é se sua equipe reconhecerá a mensagem convincente que chegará depois.
• Pratique em vez de apenas dar instruções. Simulações realistas de phishing mostram quais departamentos precisam de apoio antes que um invasor descubra isso por você.

Para as organizações sujeitas à NIS2, a capacitação em conscientização não é mais opcional. Ela é mencionada explicitamente na diretiva, e nosso guia sobre a NIS2 explica o que isso significa na prática.