World Triathlon confirma el robo de datos de triatletas

World Triathlon ha confirmado un ataque informático a sus bases de datos en el que se copió información personal, deportiva y médica de triatletas, incluidos los de grupos de edad (age group). Entre los datos figuran alergias, enfermedades y medicación declaradas para recibir asistencia en competiciones. La federación internacional detectó la intrusión el domingo 8 de noviembre de 2026.

La organización ha detectado además intentos de fraude: se han usado dominios de correo parecidos a los oficiales para pedir pagos a nuevas cuentas bancarias. No ha comunicado cuántas personas están afectadas ni el volumen total de información extraída.

Qué datos se han copiado

Los registros de atletas incluyen nombres, correos electrónicos, direcciones postales, países, federaciones de pertenencia, inscripciones e historiales de resultados. A ellos se suman las declaraciones médicas que los participantes facilitan para que los delegados médicos puedan atenderlos en las pruebas. World Triathlon no informa del robo de historias clínicas completas.

El aviso dirigido a las federaciones identifica expresamente a deportistas de élite y de grupos de edad, lo que amplía el alcance al triatlón popular. La filtración afecta también a entrenadores, oficiales técnicos y personal de federaciones, de quienes se copiaron funciones, evaluaciones y certificaciones. El acceso alcanzó asimismo los datos de contacto de federaciones nacionales y confederaciones continentales. El Reglamento General de Protección de Datos clasifica la información sobre salud como categoría especial. World Triathlon afirma que no se accedió a información financiera.

Cronología: del 6 de noviembre al aviso a las federaciones

Según World Triathlon, el viernes 6 de noviembre los atacantes copiaron tablas completas de las bases de datos. La extracción se repitió en varias ocasiones e incluyó la lista de contactos de las federaciones nacionales. Al día siguiente, el 7 de noviembre, apareció en un foro de piratería informática una publicación que ofrecía esos datos para su descarga. World Triathlon recoge la existencia de la oferta, pero no confirma haberla verificado.

La federación informó a las federaciones nacionales el 10 de noviembre. La Federación Danesa de Triatlón difundió la comunicación el 11 y la Federación Irlandesa publicó el texto íntegro el 13 de noviembre.

Cómo entraron: el fallo de seguridad en Metabase

Según el comunicado, el ataque se produjo a través de Metabase, una herramienta que World Triathlon utilizaba para consultar y generar informes a partir de sus bases de datos. Un tercero explotó un fallo de seguridad. La organización desactivó Metabase el mismo día en que descubrió el acceso, el 8 de noviembre.

Su página pública de estado registró una incidencia de seguridad relacionada con Metabase y las integraciones de sus sistemas de gestión e inscripciones. Se identificó a las 12.11 UTC y se marcó como resuelta el 9 de noviembre, aunque la resolución operativa no implica que la investigación sobre los datos haya concluido.

Contraseñas y medidas adoptadas

El incidente incluyó registros de contraseñas de las plataformas NF Portal y Entries, almacenadas mediante funciones hash, es decir, no como contraseñas legibles. World Triathlon restableció todas las contraseñas de ambas plataformas, cerró las sesiones abiertas de los usuarios y cambió las credenciales de las bases de datos afectadas. También conservó pruebas de la intrusión.

Autoridades e investigación en curso

La federación ha contratado a una empresa externa de ciberseguridad para investigar lo ocurrido y determinar el alcance de la extracción. La investigación continúa. El incidente se ha comunicado a la policía suiza y al Comisionado Federal de Protección de Datos e Información de Suiza. El aviso menciona además comunicaciones relacionadas con el reglamento europeo y la normativa británica de protección de datos, y señala que las federaciones nacionales deberán revisar las obligaciones que les correspondan respecto a sus miembros.

Intentos de fraude y recomendaciones para los afectados

World Triathlon advierte de suplantaciones de identidad ya detectadas. Pide verificar cualquier petición de pago o transferencia por un canal independiente, como una llamada telefónica al contacto habitual.

La organización notificará individualmente por correo electrónico a las personas afectadas y facilitará más novedades según avance la investigación. Quienes reutilizaran la contraseña de NF Portal o Entries en otro servicio deberían cambiarla también allí. Los mensajes sospechosos deben remitirse a technology@triathlon.org y las consultas jurídicas, a legal@triathlon.org. La política de privacidad de World Triathlon permite consultar los derechos sobre datos personales.