Índice
Un grupo delictivo defiende que la Lista Robinson ha sido hackeada mientras que la entidad que la gestiona lo niega. En juego están los datos de 600.000 españoles
«Buenas tardes, te llamo de [inserte nombre de una compañía eléctrica, de telecomunicaciones, etc.]…». «Perdona, es que soy cliente Robinson, así revisa tu fichero porque no me puedas llamar por motivos comerciales». Escucho este diálogo todas las semanas porque mi pareja siempre responde de esta manera a todas las llamadas comerciales que recibe.
Por eso, cuando se hizo público ayer que quizás la Lista Robinson ha sido hackeada, se lo conté, para que se anduviese con cuidado y no fuese víctima de técnicas de phishing, smishing o vishing en caso de que grupos de ciberdelincuentes tuviesen acceso a sus datos personales. Su respuesta me dejó atónita: «ah, si yo no me he inscrito en la Lista Robinson, solo lo digo para que me eliminen de sus bases de datos».
El caso es que unos 5 millones de personas sí están inscritas en este sistema y si la Lista Robinson ha sido hackeada sus datos personales pueden caer en las manos de delincuentes y estafadores.
El grupo de cibercriminales injectioninferno hizo público en la Dark Web que había provocado una brecha de datos en la Lista Robinson, un sistema de exclusión de publicidad en el que pueden inscribirse los ciudadanos que no desean recibir llamadas, emails y SMS de índole comercial. Así, habrían puesto a la venta los datos de 600.000 personas incluidos en una base a la que tuvieron acceso. Pero… ¿de verdad la Lista Robinson ha sido hackeada?
La entidad que gestiona la Lista Robinson, la Asociación Española de Economía Digital (ADigital), ha negado que se hubiese producido un hackeo o acceso ilícito a sus sistemas. Eso sí, la organización ha hecho público que seguirá investigando y que pondrá a disposición de la Agencia Española de Protección de Datos (AEPD) toda la información que tenga.
A continuación, vamos a contarte qué son los sistemas de exclusión de publicidad y qué puede suceder si la Lista Robinson ha sido hackeada con éxito como defiende el grupo delictivo que está intentando vender supuestos datos de ciudadanos como:
- Números de DNI.
- Nombres completos.
- Números de teléfonos móviles.
- Direcciones de email.
La Lista Robinson y los sistemas de exclusión publicitaria
La Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) contempla, en su artículo 23, la creación de sistemas de exclusión publicitaria en España.
Habida cuenta de esta habilitación legal, ADigital puso en marcha y gestiona la Lista Robinson. Pero, ¿cuáles son los aspectos clave de estos sistemas de exclusión publicitaria?
- Tienen como objetivo «evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas».
- En estos sistemas solo se deben incluir «los datos imprescindibles para identificar a los afectados». Además, en estos sistemas se podrán implementar servicios de preferencia, de tal forma que un ciudadano determina qué empresas sí pueden enviarle comunicaciones comerciales a través de llamadas telefónicas, SMS, email u otras vías.
- Las entidades que gestionan sistemas como la Lista Robinson deben comunicar a la autoridad pública su creación y la forma en que los ciudadanos se pueden inscribir en ellos.
- Si un ciudadano le indica a una empresa que no desea que sus datos sean empleados con fines comerciales, el negocio debe informarle sobre los sistemas de exclusión publicitaria a los que puede acudir.
- Las empresas que deseen realizar comunicaciones comerciales deben consultar previamente los sistemas de exclusión publicitaria, de tal forma que se proceda a excluir a los ciudadanos que hubiesen manifestado su oposición a recibirlas.
- Los negocios no tendrán que consultar la Lista Robinson si han recabado el consentimiento expreso de los ciudadanos para recibir comunicaciones comerciales.
En nuestro país, el sistema de exclusión publicitaria que se ha puesto en marcha es la Lista Robinson. De ahí que en torno a 5 millones de personas se hayan inscrito en ella y que, si la Lista Robinson ha sido hackeada, se genere alarma social sobre el uso que le pueden dar los delincuentes a los datos de las personas.
Sobre todo, si tenemos en cuenta la paradoja que se produciría si los datos de personas que no desean recibir comunicaciones comerciales acaban en manos de actores maliciosos que pueden emplearlos para enviarles spam, pero también para intentar estafarlas mediante técnicas de ingeniería social.
Si se confirma que la Lista Robinson ha sido hackeada… ¿Qué pueden hacer los ciudadanos?
A falta de que se esclarezca si la Lista Robinson ha sido hackeada con éxito por un grupo delictivo y los datos de 600.000 personas están a la venta en la Dark Web, es fundamental que todos los ciudadanos que se hayan inscrito en este sistema tomen medidas preventivas.
¿Por qué? Es previsible que si los datos personales y de contacto de las personas caen en manos de delincuentes sean empleados para lanzar una oleada de fraudes digitales a ciudadanos.
Así como existen consejos para compartir el DNI de forma segura en internet, también hay una serie de buenas prácticas que se pueden poner en marcha para evitar ser víctimas de fraudes:
- No descargar ningún archivo adjuntado a un email que procede de una dirección que no es de confianza y, sobre todo, no abrirlo en un ordenador o móvil.
- No hacer clic en ningún enlace incluido en un email o SMS que redirige al usuario a una web en la que tiene que realizar una acción de urgencia.
- Desconfiar, precisamente, de los mensajes y llamadas que apelan a problemas que se deben resolver de forma urgente.
- Confirmar cualquier comunicación efectuada, teóricamente, por una compañía de la que se es cliente, llamando directamente a su servicio de atención al cliente.
- No introducir las credenciales de acceso a ninguna web y, en especial, a una cuenta bancaria online, en una página de login a la que se ha accedido a través de un email o un SMS.
- No facilitar por teléfono ningún dato personal y, ante todo, contraseñas aunque el emisor diga ser del servicio de atención al cliente de una compañía y haga hincapié en que es la única forma de resolver una incidencia.
- Llevar a cabo una búsqueda de datos personales en internet para comprobar si se han exfiltrado.
- Actuar siempre con templanza y sentido común al recibir comunicaciones procedentes de empresas e instituciones.
Si la Lista Robinson ha sido hackeada y los datos se venden en la Dark Web, es posible que múltiples delincuentes los adquieran para intentar estafar a los ciudadanos y conseguir:
- Acceder a sus cuentas bancarias.
- Manipularlos para que lleven a cabo transferencias.
- Infectar sus dispositivos personales o de trabajo con malware para espiarles o extorsionarles tras robarles documentos.
- Robarles sus credenciales para acceder a software y plataformas web sensibles como un gestor de email.
Si la Lista Robinson ha sido hackeada, ¿la AEPD podría investigar si se ha producido una vulneración de la protección de datos?
Sí. De hecho, la propia ADigital al desmentir que la Lista Robinson ha sido hackeada ha manifestado su predisposición a colaborar con la AEPD.
Es más, algunas de las principales multas de protección de datos en España en 2025 no tienen su origen en prácticas que menoscaban de manera evidente la salvaguardia de los datos personales como escanear el DNI en un hotel o que un repartidor de saque una fotografía al DNI de un cliente. Por ejemplo, el Grupo Caja Rural recibió una sanción por encima del millón de euros por una brecha de datos.
Así, las deficiencias en materia de ciberseguridad pueden conllevar la imposición de cuantiosas sanciones económicas por parte de la AEPD si los datos personales de clientes, trabajadores o proveedores se ven expuestos.
Por lo tanto, si, finalmente, la Lista Robinson ha sido hackeada, la AEPD investigará lo sucedido para determinar si las medidas técnicas y organizativas puestas en marcha por ADigital eran lo bastante robustas para proteger los datos personales de los ciudadanos inscritos en su sistema o si, por el contrario, se incumplió el RGPD.
De hecho, a asociación de consumidores FACUA ya ha presentado una denuncia ante la AEPD para que el organismo público dilucide qué ha sucedido, si se ha producido una filtración masiva de datos personales y, de ser así, imponga una sanción severa a ADigital.
Además, si un ciudadano constata que hay datos personales suyos en la Dark Web o que su información ha sido empleada en campañas de fraudes y tiene pruebas de que el origen es una posible brecha de datos ligada a la Lista Robinson puede presentar una reclamación ante la AEPD para que lo investigue.
Habida cuenta de la repercusión pública que está generando la noticia de que quizás la Lista Robinson ha sido hackeada, iremos actualizando cualquier novedad que se produzca en torno a esta materia.
Si la Lista Robinson ha sido hackeada o no será una cuestión que se terminará aclarando, lo importante es tomar las medidas necesarias para evitar que los ciudadanos sean víctimas de costosos y dolorosos fraudes.
