Španělský úřad uložil Vodafonu pokutu 400 000 eur po ransomwarovém útoku na poskytovatele podpory. Platná zpracovatelská smlouva ani následná obnova dat nestačily k prokázání, že před incidentem fungovala přiměřená bezpečnostní opatření.

Rozhodnutí AEPD zveřejněné jako PS/00194/2025, vedené ve spise EXP202400703, se týká incidentu z 27. května 2023. Útočník pronikl do infrastruktury zpracovatele, který pro Vodafone zajišťoval služby související s řešením zákaznických incidentů. Operátor oznámil porušení zabezpečení úřadu 30. května. Nejde tedy o zprávu o právě probíhajícím útoku.

Podle prokázaných skutečností v rozhodnutí byla narušena důvěrnost nešifrovaných telefonních údajů 486 768 soukromých zákazníků a kontaktních telefonů 14 571 oprávněných osob firemních klientů. U soukromých zákazníků šlo o mobilní čísla MSISDN a pevné linky. Nelze z toho vyvozovat, že všechna data u dodavatele byla nešifrovaná: například identifikační doklady byly chráněny šifrováním a úřad jejich důvěrnost nepovažoval za narušenou. Vodafone uvedl, že incident zasáhl také dostupnost dat.

Úřad posuzoval konkrétní nedostatky před útokem. V odůvodnění sankce uvedl, že chyběl mechanismus nápravy zranitelností systému, přestože zranitelnost považovaná za vstupní cestu útoku byla známá už před incidentem. Část technických podrobností je ve zveřejněném rozhodnutí anonymizována, a proto z něj nelze spolehlivě odvodit konkrétní CVE ani dotčený produkt.

Vodafone namítal, že prováděl kontroly, měl zavedená bezpečnostní opatření a nemůže se po něm požadovat nepřetržitý každodenní dohled nad všemi činnostmi dodavatele. Poukazoval také na možnost obnovy ze záloh a na zvládnutí incidentu. AEPD však dospěla k závěru, že přiměřené zabezpečení zpracování nebylo zajištěno. Za porušení článku 32 GDPR uložila operátorovi pokutu 400 000 eur.