Os maiores ciberataques em Espanha

O ano de 2026 começou mal para as organizações espanholas. Só nas primeiras semanas do ano, foi confirmada uma violação de segurança na Endesa, o Ministério das Finanças abriu uma investigação sobre uma intrusão e o porto de Vigo, a cadeia de ginásios Basic Fit, a Inditex e o grupo de supermercados Ahorramás foram todos alvo de ataques.

O ano anterior também não foi nada tranquilo: a Telefónica, o El Corte Inglés, a Mango, o Santander e o ING viram os dados dos seus clientes expostos. Este artigo aborda oito casos documentados, o que foi realmente divulgado e o padrão que liga quase todos eles.

Os maiores ciberataques em Espanha

1. Endesa (2026): alegam 20 milhões de clientes

A empresa de energia confirmou uma falha de segurança em que foram expostos dados pessoais dos clientes, incluindo dados de contacto, números de DNI, números de conta bancária IBAN e detalhes dos contratos. Um agente malicioso que opera sob o pseudónimo «Spain» afirmou ter extraído uma base de dados com mais de um terabyte, contendo informações sobre mais de 20 milhões de pessoas.

A Endesa avisou os clientes afetados e o INCIBE, o instituto nacional espanhol de cibersegurança, emitiu um aviso público.

2. Ministério das Finanças (2026): uma investigação a 47 milhões de registos

O Ministério das Finanças investigou uma alegada intrusão nas suas bases de dados. Segundo o atacante, foram comprometidos dados pessoais, bancários e fiscais de mais de 47 milhões de cidadãos. A empresa de inteligência de ameaças Hackmanac identificou um agente que se autodenomina HaciendaSec. Esse número vem do atacante e não do ministério, e deve ser entendido como uma alegação e não como um total confirmado.

3. Telefónica (2025): 22 milhões de registos de clientes

O grupo de telecomunicações sofreu uma violação de segurança que comprometeu cerca de 22 milhões de registos de clientes. A Telefónica é uma das organizações espanholas mais frequentemente alvo de ataques, em parte devido ao volume de dados de assinantes que detém.

4. El Corte Inglés (2025): o fornecedor foi a porta de entrada

A 2 de março de 2025, o El Corte Inglés informou os clientes de que um dos seus fornecedores externos tinha sofrido um acesso não autorizado a dados pessoais. Foram expostos dados de identificação e detalhes de cartões de pagamento, embora a empresa tenha afirmado que as informações dos cartões que vazaram, por si só, não podiam ser usadas para efetuar pagamentos.

O que se seguiu é a parte que vale a pena analisar. Em poucos dias, começou uma campanha de smishing: criminosos que se faziam passar pela divisão financeira da loja através de SMS, com o objetivo de roubar credenciais de acesso. A organização de consumidores OCU emitiu um aviso público.

5. Mango (2025): também através de um fornecedor

A loja de moda sofreu uma violação de segurança quando o seu fornecedor externo de marketing permitiu o acesso não autorizado a dados pessoais. O mesmo que aconteceu com o El Corte Inglés: o atacante não entrou pela porta da frente da marca.

6. Utilizadores do Booking (2025): o ataque ocorreu após a violação

Os utilizadores da plataforma de viagens foram alvo de uma campanha que combinava informações de reservas roubadas com mensagens de acompanhamento convincentes. Como os criminosos tinham acesso a detalhes reais das reservas, as suas mensagens eram muito mais difíceis de ignorar do que as típicas tentativas de phishing. Este é o exemplo mais claro desta lista de porque é que os dados roubados raramente são o fim de um incidente, mas sim o início do próximo.

7. Santander e ING (2025): milhares de clientes bancários

Ambos os bancos viram os dados dos seus clientes comprometidos. Num setor em que uma única mensagem convincente pode movimentar dinheiro, o valor dos dados dos clientes que vazaram é imediato.

8. A onda de 2026: Vigo, Basic Fit, Inditex, Ahorramás

Para além dos casos mais mediáticos, as primeiras semanas de 2026 trouxeram relatos de incidentes no porto de Vigo, na cadeia de ginásios Basic Fit, na Inditex e no grupo de supermercados Ahorramás. Portos, ginásios, retalho: já não há nenhum setor que pareça um alvo improvável.

O que estes ataques têm em comum

Há dois padrões que se repetem nesta lista, e nenhum deles é de natureza técnica.

O fornecedor é o ponto de entrada. No El Corte Inglés e na Mango, o atacante nunca chegou a tocar nos sistemas da própria marca. Passou por um fornecedor externo que guardava os dados dos clientes. A tua segurança depende da segurança da entidade com quem partilhaste a tua base de dados, e a maioria das organizações tem dezenas delas.

A violação é o começo, não o fim. O caso do El Corte Inglés mostra isso claramente: poucos dias depois da fuga de dados, os criminosos já estavam a enviar mensagens SMS a fazer-se passar pelo departamento financeiro da empresa. Tinham dados reais dos clientes, o que tornava a mensagem credível. O mesmo aconteceu com os utilizadores da Booking, onde os detalhes genuínos das reservas tornavam a mensagem de acompanhamento quase impossível de distinguir de uma mensagem verdadeira. A fuga de dados fornece a munição; o ataque que custa dinheiro vem depois e tem como alvo as pessoas.

É nessa segunda fase que uma organização ainda pode intervir. Uma firewall não consegue impedir um colaborador de agir com base numa mensagem que contenha informações precisas sobre uma transação real. Um colaborador com formação consegue. É o mesmo mecanismo que está por trás das iscas: o atacante dá um motivo para agir e a decisão é tomada em segundos.

Como proteger a tua organização

As cópias de segurança, a aplicação de patches e o controlo de acesso são o mínimo indispensável. Para além disso, há três aspetos importantes para os padrões acima referidos:

• Verifica quem tem os teus dados. Se um fornecedor de marketing ou um parceiro de logística tiver a tua base de dados de clientes, a segurança deles passa a ser um risco para ti. Pergunta-lhes o que fazem em termos de formação de sensibilização, não só em termos de encriptação.
• Prepara-te para a segunda vaga. Parte do princípio de que, um dia, os dados vão acabar por vazar algures. O que determina a gravidade dos danos é se a tua equipa reconhece a mensagem convincente que surge a seguir.
• Pratica em vez de dar instruções. Simulações realistas de phishing mostram quais os departamentos que precisam de apoio antes que um atacante o descubra por ti.

Para as organizações abrangidas pela NIS2, a formação de sensibilização já não é opcional. É mencionada explicitamente na diretiva, e o nosso guia sobre a NIS2 explica o que isso significa na prática.