World Triathlon confirma el robo de datos médicos de triatletas de grupos de edad y avisa de intentos de fraude

World Triathlon ha confirmado que un atacante accedió a sus bases de datos y copió información personal, deportiva y médica de triatletas. Entre los registros extraídos figuran alergias, enfermedades y medicamentos declarados para recibir asistencia durante las competiciones. La filtración afecta también a entrenadores, oficiales técnicos y personal de federaciones.

La organización detectó la intrusión el 8 de noviembre de 2026, dos días después de que los atacantes copiaran tablas completas de sus bases de datos. World Triathlon informó a las federaciones nacionales el día 10. La Federación Danesa difundió la comunicación el 11 y la irlandesa publicó el texto íntegro el 13.

El aviso dirigido a las federaciones identifica expresamente a deportistas de élite y de grupos de edad. La inclusión de estos últimos amplía el alcance del incidente al triatlón popular. World Triathlon no ha comunicado todavía cuántas personas resultaron afectadas ni el volumen total de información extraída.

Alergias, enfermedades, medicación e historiales deportivos

Los registros de atletas incluyen nombres, correos electrónicos, direcciones postales, países, federaciones de pertenencia, inscripciones e historiales de resultados. La documentación robada contiene asimismo información sanitaria que los participantes habían comunicado para la atención de los delegados médicos en las pruebas: alergias, enfermedades y medicación.

La precisión sobre el origen de estos datos es importante. World Triathlon no informa del robo de historias clínicas completas, sino de declaraciones médicas recogidas en el contexto de las competiciones. Se trata, en cualquier caso, de información sobre salud, que el Reglamento General de Protección de Datos clasifica como categoría especial.

También se copiaron registros de entrenadores y oficiales técnicos, con información sobre sus funciones, evaluaciones y certificaciones. El acceso alcanzó igualmente los datos de contacto de federaciones nacionales y confederaciones continentales. La federación internacional afirma que no se accedió a información financiera.

Cómo consiguieron acceder a las bases de datos

El ataque se produjo a través de Metabase, una herramienta que World Triathlon utilizaba para consultar y generar informes a partir de sus bases de datos. Según el comunicado, un tercero explotó un fallo de seguridad y extrajo en varias ocasiones nombres, direcciones electrónicas y postales, incluida la lista de contactos de federaciones.

El 6 de noviembre los atacantes copiaron tablas completas. El día 7 apareció en un foro de piratería informática una publicación que afirmaba ofrecer esos datos para su descarga. World Triathlon recoge la existencia de esa oferta, pero su comunicado no confirma haber verificado el contenido de la publicación.

La organización descubrió el acceso el 8 de noviembre y desactivó Metabase ese mismo día. Su página pública de estado registró una incidencia de seguridad relacionada con Metabase y las integraciones de sus sistemas de gestión e inscripciones. El problema se identificó a las 12.11 UTC y se marcó como resuelto el 9 de noviembre.

También se llevaron registros de contraseñas

El incidente incluyó además registros de contraseñas de las plataformas NF Portal y Entries. World Triathlon señala que estaban almacenadas mediante funciones hash, es decir, que no figuraban como contraseñas legibles. Tras descubrir el ataque, restableció todas esas claves y cerró las sesiones abiertas de los usuarios.

La federación cambió también las credenciales de las bases de datos afectadas, conservó pruebas de la intrusión y contrató a una empresa externa especializada en ciberseguridad. Esa firma debe examinar lo ocurrido y determinar el alcance de la extracción. La investigación continúa aunque el servicio afectado figure ya como operativo.

World Triathlon ha comunicado el incidente a la policía suiza y al Comisionado Federal de Protección de Datos e Información de Suiza. Su aviso menciona además comunicaciones relacionadas con el reglamento europeo y la normativa británica de protección de datos. Las federaciones nacionales deberán revisar las obligaciones que les correspondan respecto a sus miembros.

Ya se han detectado intentos de fraude

La organización advierte de intentos de suplantación de identidad ya detectados: se han utilizado dominios de correo parecidos a los oficiales para solicitar pagos a nuevas cuentas bancarias. Por ello ha pedido verificar cualquier petición de transferencia por un canal independiente, como una llamada telefónica al contacto habitual.

World Triathlon notificará individualmente a las personas afectadas por correo electrónico. Quienes reutilizaran la contraseña de NF Portal o Entries en otro servicio deberían cambiarla también allí. La organización pide remitir mensajes sospechosos a technology@triathlon.org y dirige las consultas jurídicas a legal@triathlon.org.