World Triathlon confirma una brecha de seguridad con datos médicos

World Triathlon ha confirmado una brecha de seguridad que compromete datos personales de deportistas, entrenadores, oficiales y federaciones, entre ellos datos médicos como alergias, enfermedades y medicación declarada. La organización detectó el incidente el domingo 8 de noviembre de 2026 y ha abierto una investigación para determinar su alcance.

La organización informó de lo sucedido a las federaciones nacionales el martes 10 de noviembre. Un día después, el miércoles 11, la Federación Danesa de Triatlón difundió esa comunicación. La investigación sigue abierta a fecha de 13 de noviembre.

Una vulnerabilidad en Metabase y varias descargas

Según la información trasladada por World Triathlon, un tercero aprovechó una vulnerabilidad en Metabase, una herramienta que sirve para consultar y analizar información almacenada en bases de datos. Aquel acceso no autorizado permitió descargar información en distintas ocasiones.

La organización sitúa el 6 de noviembre como el día en que se copiaron tablas completas de sus bases de datos. Al día siguiente, el 7, los datos fueron ofrecidos para su descarga en un foro de hackers. World Triathlon desactivó el sistema afectado el 8 de noviembre, el mismo día en que descubrió el incidente. Su página de estado recoge una incidencia de seguridad relacionada con Metabase.

Qué datos están comprometidos

Según la comunicación de World Triathlon, entre los registros afectados figuran nombres, direcciones de correo electrónico y direcciones postales, además de inscripciones e historiales de resultados. A ello se suman los datos de salud que los deportistas facilitaron para participar en competiciones: alergias, enfermedades y medicación declarada.

La brecha no se limita a los atletas. También alcanza a registros de entrenadores y oficiales, así como a datos de contacto de federaciones nacionales y continentales. Además, se han visto comprometidas las contraseñas de NF Portal y Entries, almacenadas mediante funciones hash, un procedimiento que evita guardarlas directamente en texto legible. World Triathlon asegura que no se ha accedido a información financiera.

Las medidas adoptadas

La organización ha restablecido las contraseñas de NF Portal y Entries, ha cerrado las sesiones activas y ha modificado las credenciales de acceso a las bases de datos implicadas. También ha informado del incidente a las autoridades suizas y ha realizado comunicaciones relacionadas con la normativa de protección de datos de la Unión Europea y Reino Unido.

Para esclarecer lo ocurrido, World Triathlon ha contratado a una empresa externa especializada en ciberseguridad. Ha anunciado además que contactará con las personas afectadas y que facilitará nuevas actualizaciones conforme avance la investigación.

Riesgo de correos fraudulentos y recomendaciones

World Triathlon ha advertido de que los datos comprometidos podrían usarse para engañar a deportistas, entrenadores o federaciones mediante correos fraudulentos. Según la comunicación difundida por la Federación Danesa, ya se han detectado intentos de suplantación con dominios similares a los oficiales, sobre todo para solicitar pagos.

Entre las recomendaciones figura verificar cualquier petición de pago por un canal independiente antes de hacer transferencias. Quienes hayan reutilizado las contraseñas de NF Portal o Entries en otros servicios deberían cambiarlas como medida preventiva, y conviene desconfiar de mensajes que pidan credenciales, información personal o pagos urgentes.

Los mensajes sospechosos relacionados con el incidente pueden comunicarse al correo technology@triathlon.org. Los usuarios también pueden consultar la política de privacidad de World Triathlon para conocer sus derechos sobre sus datos personales.

Lo que aún no se ha comunicado

World Triathlon no ha comunicado cuántas personas están afectadas. Tampoco se ha publicado una cifra definitiva ni el periodo temporal al que corresponden los registros extraídos.