Filtración de Datos en el Reino Unido: Lecciones de LGPD

Filtración de datos dejó de ser un problema lejano de multinacionales: en marzo de 2026, el portal de pensiones del funcionariado público británico expuso información personal de jubilados debido a una falla que cualquier auditoría básica habría detectado. El caso de Capita se convirtió en titular en el Reino Unido, y es una alerta directa para cualquier empresa brasileña que recolecta datos de clientes bajo la LGPD. En esta guía, separo lo que sucedió, por qué sucedió y lo que deberías hacer diferente.

TL;DR

• El 30/03/2026, el portal del Civil Service Pension Scheme (CSPS), operado por Capita, permitió que 138 miembros vieran extractos de jubilación de otras personas durante unos 35 minutos.
• La causa fue un control de acceso roto: cada usuario debería ver solo sus propios datos, y el sistema falló.
• El mismo portal ya había subido sin DNSSEC, una protección considerada básica para un sitio financiero.
• No fue la primera vez: Capita recibió una multa de £14 millones del regulador británico (ICO) por una filtración de datos de 2023 que afectó a 6,6 millones de personas.
• Para las empresas en Brasil, el guion de riesgo es idéntico bajo la LGPD, y los errores son evitables.

Qué sucedió en la filtración de datos de Capita

El 30 de marzo de 2026, durante aproximadamente 35 minutos, el portal del Civil Service Pension Scheme — el esquema de jubilación de cerca de 1,7 millones de funcionarios públicos del Reino Unido — presentó un defecto grave. Al generar los Annual Benefit Statements (ABS), los extractos anuales de beneficios, el sistema mezcló registros: 138 miembros vieron el extracto de otra persona, o tuvieron su propio extracto visto por terceros. El nombre y la dirección estaban entre los datos expuestos.

La administración del esquema es responsabilidad de Capita, gigante británica de externalización que asumió el contrato el 1 de diciembre de 2025 — un acuerdo de siete años valorado en £239 millones, heredado de la operadora anterior, MyCSP. Tan pronto como se identificó la falla, se suspendió la función de generar extractos, y se contactó a todos los afectados el 3 de abril. El 16 de abril de 2026, el propio gobierno británico llevó el caso al Information Commissioner's Office (ICO), el regulador de protección de datos del país.

Puede parecer un número pequeño — 138 personas. Pero en protección de datos, la escala no define la gravedad. Lo que define es la naturaleza del dato (financiero, personal) y la falla de principio: un sistema que mezcla registros entre usuarios rompió la regla más elemental de cualquier aplicación que maneja cuentas individuales.

La falla técnica: control de acceso roto

El corazón del problema es un concepto que todo desarrollador debería tener tatuado: control de acceso. La idea es simple: cada usuario autenticado solo puede acceder a los recursos que le pertenecen. Cuando este control falla, surge lo que la industria llama broken access control, hoy el ítem número 1 del ranking de riesgos de aplicación web de OWASP.

En el caso de Capita, el portal entregó al usuario A el documento del usuario B. En términos prácticos, es como si un cajero automático mostrara el saldo del cliente de la fila al cliente siguiente. No hubo invasión sofisticada, ni ransomware, ni hacker de película: fue la aplicación haciendo lo incorrecto por sí sola, al generar los extractos.

El agravante: el portal subió sin seguridad básica

Aquí reside la parte que más incomoda a quienes trabajan con web. Antes incluso de este episodio, especialistas ya habían señalado que el portal se publicó, en diciembre de 2025, sin DNSSEC — una extensión de seguridad del DNS que dificulta el secuestro de dominio y el redireccionamiento de usuarios a sitios falsos. La protección solo se activó después de un aviso público.

La frase de una especialista en seguridad citada por la prensa británica lo resume todo: "esto es lo más básico para gestionar un sitio. Es una falla grave para un sitio de naturaleza financiera." Cuando lo básico de la seguridad web se descuida, la filtración de datos deja de ser mala suerte y pasa a ser cuestión de tiempo. Es la misma lección que vimos cuando GitHub fue usado para distribuir una extensión maliciosa de VS Code: la puerta de entrada casi siempre es un descuido evitable.

No fue la primera vez: la multa de £14 millones

El episodio de 2026 no es un caso aislado. Ocurre con Capita aún llevando la cicatriz de una filtración de datos mucho mayor, de 2023, cuya cuenta llegó solo en octubre de 2025. Vale comparar ambos eventos lado a lado:

Aspecto	Incidente de 2023	Incidente de 2026
Tipo	Ataque ransomware	Falla de control de acceso
Origen	Archivo malicioso descargado por un empleado	Defecto en la generación de extractos
Personas afectadas	6,6 millones	138
Datos expuestos	Pensiones, RRHH, datos sensibles	Nombre y dirección
Tiempo de respuesta	Dispositivo aislado solo tras 58 horas	Función suspendida de inmediato
Consecuencia	Multa de £14 millones del ICO	Caso remitido al ICO

En la invasión de 2023, un archivo malicioso fue descargado en el dispositivo de un empleado el 22 de marzo. A pesar de que se disparó una alerta de alta prioridad en 10 minutos, la empresa solo aisló la máquina 58 horas después — ventana suficiente para que el invasor extrajera casi 1 terabyte de datos entre el 29 y el 30 de marzo. El ICO concluyó que el centro de operaciones de seguridad tenía personal insuficiente y que los sistemas con millones de registros no pasaban por pruebas de penetración recurrentes.

El resultado fue una multa de £14 millones (la suma consideró £8 millones para Capita plc y £6 millones para Capita Pension Solutions), anunciada por el ICO en octubre de 2025. El cálculo inicial llegó a £58 millones antes de reducciones. El mensaje del regulador fue explícito: la seguridad de datos no es tarea de bomberos, es mantenimiento continuo.

Por qué esto importa para las empresas brasileñas

"Es un caso del Reino Unido, no tiene que ver conmigo." Sí, y mucho. La lógica regulatoria que castiga a Capita es la misma que rige el tratamiento de datos personales en Brasil. Cambia "ICO" por "ANPD" y "UK GDPR" por "LGPD" y la historia entera podría ocurrir aquí.

La Ley General de Protección de Datos (Ley 13.709/2018) exige que cualquier empresa que trate datos personales adopte medidas técnicas y administrativas para protegerlos. La Autoridad Nacional de Protección de Datos (ANPD) puede aplicar advertencias, exigir bloqueo o eliminación de datos e imponer multas de hasta el 2% de la facturación, limitadas a R$ 50 millones por infracción. Y el gatillo no es solo el ataque externo: la obligación de notificar incidentes vale tanto para el ransomware sofisticado como para el bug que mostró el dato de un cliente a otro.

El riesgo reside en los detalles, no en lo espectacular

La filtración de datos de 2026 de Capita prueba un punto que repito a cada cliente: el mayor riesgo rara vez es el ataque de película. Es el control de acceso mal probado, el formulario sin validación, el panel administrativo expuesto, la copia de seguridad pública. Son fallas baratas de corregir y carísimas de ignorar. La misma fragilidad silenciosa apareció en el caso de los paquetes NPM infectados por Shai-Hulud, donde la confianza ciega en una dependencia abrió la puerta trasera.

Las 6 lecciones prácticas del caso

Extraje de este episodio seis lecciones que aplicamos en Agathas Web en cualquier sistema que toca datos de clientes. Ninguna es cara; todas son frecuentemente omitidas.

1. El control de acceso es prueba obligatoria, no opcional. Cada endpoint que devuelve datos personales debe verificar si el usuario conectado es el dueño de ese dato. Pruébalo explícitamente, con cuentas diferentes, antes de publicar.
2. La seguridad básica viene antes del lanzamiento, no después. HTTPS, DNSSEC, cabeceras de seguridad y autenticación fuerte son requisitos previos al lanzamiento, no mejoras para la "fase 2".
3. El tiempo de respuesta a incidentes es una métrica de vida o muerte. Las 58 horas de Capita en 2023 se convirtieron en 1 TB filtrado. Ten un plan de respuesta y ensáyalo.
4. La prueba de penetración es recurrente. Un pentest solo en el lanzamiento envejece en semanas. Vuelve a hacerlo con cada cambio relevante.
5. Minimiza lo que recolectas. El dato que no guardas no se filtra. Pregúntate si realmente necesitas ese CPF, esa dirección.
6. Notifica rápido y con transparencia. La LGPD exige comunicación a la ANPD y a los titulares en un plazo razonable. Ocultar un incidente empeora la sanción y destruye la confianza.

Sistema oficial y seguro vs. chapuza

Existe un hilo que conecta el caso Capita con una decisión que las empresas brasileñas toman cada semana: usar la herramienta oficial y auditable, o la chapuza más barata que "resuelve por ahora". Capita erró incluso operando una plataforma oficial — imagina el tamaño del riesgo de quien maneja datos sensibles en soluciones improvisadas, sin soporte, sin actualización de seguridad y sin nadie responsable cuando algo se rompe.

Es exactamente la lógica que defendemos cuando el tema es integración de atención al cliente. Ejecutar la comunicación de tu empresa en APIs no oficiales o apps clonadas es construir sobre arena: sin garantía de continuidad, sin rastro de auditoría y con tu número (y los datos de tus clientes) rehenes de una capa que puede desaparecer en cualquier momento. Ya he detallado este trade-off en la comparación entre WhatsApp Business App y API Oficial y en la guía sobre qué hacer cuando WhatsApp es bloqueado. La conclusión es siempre la misma: la infraestructura oficial cuesta un poco más y te protege mucho más.

La seguridad no es un recurso que se añade al final. Es una decisión de arquitectura que se toma al principio — el mismo principio que vale para un portal de pensiones, para una app educativa o para la capa de seguridad de un sistema operativo entero como Android 17.

Cómo proteger los datos de tus clientes hoy

No necesitas ser una multinacional para hacer los deberes. Esta es la lista de verificación mínima que recomiendo a cualquier negocio que mantiene un registro de clientes:

• Enumera todos los puntos donde tu aplicación devuelve datos personales y prueba el control de acceso en cada uno.
• Activa HTTPS en todo, fuerza la redirección y renueva los certificados automáticamente.
• Usa autenticación fuerte (preferiblemente con segundo factor) en el acceso administrativo.
• Mantén las dependencias y el servidor actualizados — la mayoría de las brechas explotan versiones antiguas conocidas.
• Haz copias de seguridad cifradas y prueba la restauración de verdad, no solo la programación.
• Ten un plan de respuesta a incidentes por escrito, con quién activa qué y en cuánto tiempo.
• Documenta lo que recolectas y por qué — es un requisito de la LGPD y una excelente higiene de datos.

Si tu equipo no tiene capacidad para manejar todo esto, contratar a quienes tratan la seguridad como parte del proyecto — y no como un añadido — sale mucho más barato que una multa de la ANPD o la pérdida de confianza de tus clientes.

Conclusión: lo básico bien hecho es lo que protege

La filtración de datos de Capita no fue obra de un genio del crimen. Fue la suma de detalles descuidados: un control de acceso que no se probó a fondo, una seguridad básica pospuesta, un historial de respuesta lenta. Es precisamente por ser banal que enseña tanto — porque los mismos descuidos están al alcance de cualquier empresa apresurada.

La buena noticia es que el camino de salida es conocido y accesible: trata los datos de los clientes con el cuidado que te gustaría que trataran los tuyos. Si quieres revisar cómo tu sistema maneja los datos personales y cerrar esas puertas antes de que alguien las encuentre, el equipo de Agathas Web puede ayudar a hacer ese diagnóstico con calma.