La Premier League saca tarjeta amarilla a la ciberseguridad
La Premier League impondrá normas obligatorias de ciberseguridad a los clubes de fútbol. Los nuevos requisitos entrarán en vigor en la temporada 2026/27 y los supervisará la dirección de la liga, no los árbitros sobre el césped, aunque también prometen consecuencias palpables para quienes los incumplan.
Los clubes almacenan enormes cantidades de información sensible: nombres de aficionados, direcciones de correo electrónico, credenciales de acceso, datos de pago y financieros, así como información sobre jugadores, empleados y patrocinadores. Además, los sistemas digitales son esenciales para la venta de entradas, los pagos, el acceso al estadio y el funcionamiento los días de partido. Por eso, un ataque exitoso puede provocar a la vez una filtración de datos, la paralización de las operaciones, pérdidas económicas y un escándalo reputacional.
El club que incumpla los requisitos puede enfrentarse a una multa de hasta 100.000 libras esterlinas, unos 11 o 12 millones de rublos al cambio, que fluctúa. También se puede remitir el caso a una comisión independiente. Como referencia, los clubes más grandes de la liga ingresan más de 600 millones de libras al año, así que para ellos una multa de ese importe sería más un tirón de orejas doloroso que una catástrofe financiera.
Hasta ahora, los equipos debían guiarse por unas recomendaciones generales de seguridad publicadas en 2024. Ahora, en lugar de una hoja de ruta voluntaria, habrá requisitos concretos y plazos. El primer paquete deberá cumplirse antes del 30 de abril de 2027; los siguientes, antes de abril de 2028 y de abril de 2029.
Cada año, los clubes deberán evaluar por su cuenta su cumplimiento antes del 10 de enero y enviar a la dirección de la liga, antes del 30 de abril, una evaluación final y los documentos que la acrediten. La liga puede solicitar información adicional. Si no se cumplen los requisitos en una fase intermedia, el club deberá presentar un plan para corregir la situación en un plazo de 28 días.
Las normas se centran en las copias de seguridad, la respuesta a incidentes, la gestión de riesgos, la acreditación de la eficacia de las medidas de protección y las pruebas de recuperación. Los expertos consideran acertado este enfoque, pero advierten de que la transición completa se prolongará hasta 2029, lo que deja a los atacantes tres temporadas más para buscar un punto débil.
La protección técnica por sí sola no basta. El deporte es especialmente propicio para la ingeniería social: engaños que se aprovechan de la urgencia, la confianza, la lealtad y las emociones. En medio de las prisas, alguien puede transferir dinero por una orden falsa o creerse un mensaje de WhatsApp de una persona que se hace pasar por el entrenador o el presidente del club.
Un caso ilustrativo tuvo lugar durante las negociaciones de un traspaso de un millón de libras: un representante del club fue víctima de un ataque de phishing dirigido. No fue un «agujero en el servidor», sino un engaño a una persona en un momento de presión.
Los clubes de fútbol ya han sufrido consecuencias graves. En noviembre de 2024, el Bologna FC italiano confirmó un ataque del grupo de ransomware RansomHub. Tras negarse a pagar el rescate, los atacantes publicaron en la dark web todo el conjunto de datos robados; según las informaciones, incluía datos de jugadores y patrocinadores. También recurrieron a la amenaza de consecuencias en virtud del RGPD, la ley europea de protección de datos personales, para aumentar la presión.
El Ajax neerlandés estuvo entre las organizaciones afectadas por una filtración en CEVA Logistics, una empresa de logística. Los datos se expusieron a través de un proveedor de servicios compartido, y no por un ataque directo al club. El caso demuestra que la cadena de proveedores puede ser tan peligrosa como la infraestructura propia del equipo.
Las normas deben convertirse en un nivel mínimo de resiliencia, no en una formalidad anual. Los clubes necesitarán copias de seguridad independientes y verificadas, planes de respuesta y recuperación ensayados, controles de acceso estrictos, un inventario de los sistemas y datos críticos, y una supervisión continua de los proveedores. La pregunta ahora es si la liga tendrá determinación suficiente para sancionar cuando el infractor sea un club grande y hacerlo resulte incómodo.
PEREC.RU
La Premier League impondrá estándares obligatorios de ciberseguridad a los clubes a partir de la temporada 2026/27. La decisión responde a que los equipos poseen grandes cantidades de información sensible: datos personales y de pago de los aficionados, e información sobre jugadores, empleados y patrocinadores. Además, la infraestructura digital permite vender entradas, tramitar pagos, gestionar el acceso a los estadios y operar los días de partido. Por eso, un ataque puede causar varios problemas a la vez: filtraciones de datos, pérdidas económicas, interrupción de las operaciones y daños reputacionales.
Las nuevas normas sustituyen las recomendaciones de seguridad publicadas en 2024. Los requisitos serán ahora obligatorios y los clubes deberán aplicarlos por fases: el primer conjunto de medidas tendrá que estar implantado antes del 30 de abril de 2027; las fases siguientes, antes de abril de 2028 y de abril de 2029. Cada año, los equipos deberán evaluar por su cuenta su cumplimiento antes del 10 de enero y enviar a la dirección de la liga, antes del 30 de abril, una evaluación final y documentación acreditativa. La dirección de la Premier League podrá pedir pruebas adicionales. Si no se cumplen los requisitos intermedios, el club deberá presentar en un plazo de 28 días un plan para adecuar sus sistemas.
Los infractores se exponen a multas de hasta 100.000 libras esterlinas y a que su caso se remita a una comisión independiente. Los expertos consideran acertado pasar de recomendaciones voluntarias a estándares formales, pero señalan que la multa es pequeña en comparación con los ingresos de los clubes más grandes, que superan los 600 millones de libras anuales. Además, el plazo final de 2029 deja a los atacantes varias temporadas para buscar vulnerabilidades.
Las áreas clave de protección son las copias de seguridad, la respuesta a incidentes, la gestión de riesgos, la acreditación de la eficacia de las medidas de seguridad y las pruebas de recuperación. Los clubes también necesitan controles de acceso, un inventario preciso de los sistemas y datos críticos, formación para el personal y supervisión de los proveedores. La ciberseguridad no debe convertirse en un trámite anual.
Otra amenaza es la ingeniería social, mediante la que los delincuentes engañan a las personas aprovechando la urgencia, la confianza y las emociones. Durante las negociaciones de un traspaso de un millón de libras, un empleado de un club fue víctima de un ataque de phishing dirigido.
En noviembre de 2024, el Bologna FC italiano confirmó un ataque del grupo RansomHub. Tras la negativa del club a pagar el rescate, los delincuentes publicaron en la dark web los datos robados; según las informaciones, entre ellos había información sobre jugadores y patrocinadores. Para presionar, los atacantes aludieron a las posibles consecuencias de infringir el RGPD, la normativa europea de protección de datos personales.
El Ajax neerlandés estuvo entre las organizaciones afectadas por una filtración en la empresa logística CEVA Logistics. Los datos se expusieron a través de un proveedor compartido, lo que pone de relieve el peligro de la cadena de proveedores.
El valor principal de las nuevas normas no está en el importe de la multa, sino en que obligan a los clubes a crear y comprobar de antemano copias de seguridad y planes de respuesta y recuperación. La eficacia de la reforma dependerá de que la liga sancione de verdad a los infractores y de que los clubes vean los requisitos como la base de su resiliencia, y no como un informe de trámite.
