A la venta los datos de 1,43 millones de socios de la Federación Francesa de Senderismo

Una base de datos de la Federación Francesa de Senderismo (FFRandonnée) salió a la venta el 29 de septiembre en un foro de hackers: 1.429.334 registros de socios con nombres, fechas de nacimiento, direcciones postales, correos electrónicos y números de teléfono. Los medios franceses ZATAZ y Fuites Infos dieron a conocer el anuncio y, según cyberattaque.org, el vendedor se hace llamar RedStone. La federación no ha confirmado públicamente la brecha.

El archivo pesa 317 MB. Contiene 1.008.071 direcciones de correo únicas y 663.291 números de teléfono únicos. Unos 98.000 registros incluyen contactos de emergencia con teléfono y las fechas de los certificados médicos que acreditan que el socio puede practicar el deporte. Los datos abarcan además unas 44.600 suscripciones a la revista impresa de la federación y 19.400 digitales. El vendedor afirma que los registros se remontan a la década de 1990, así que los 1,43 millones de entradas reflejan décadas de afiliación y no el número actual de socios. No se indicó precio; se pide a los compradores que escriban por mensaje privado.

La segunda base de datos de la misma federación este año

En febrero de 2026, Fuites Infos informó de la venta de otra base de datos de la FFRandonnée, que entonces abarcaba 813.983 socios. Incluía nombre, sexo, fecha de nacimiento, correo, teléfono, dirección, número de licencia y cargo en el club. La brecha se confirmó entonces, pero el número de registros y el origen de los datos dependían de la palabra del vendedor. Se desconoce si las dos ventas están relacionadas y de dónde salió la nueva base. ZATAZ escribe que fugas similares han afectado en los últimos meses a decenas de federaciones deportivas y culturales francesas, aunque no se ha establecido cómo se sustrajeron los datos.

La palabra «médico» en el anuncio suena peor de lo que es. Según la descripción de cyberattaque.org, se refiere a las fechas de los certificados de ausencia de contraindicaciones exigidos para la licencia, no a diagnósticos. Para un estafador importan más otros campos: el número de licencia, el club, la fecha de nacimiento y el contacto de un familiar hacen creíble cualquier correo o llamada en nombre de la federación.

Qué deben esperar los socios

El escenario más probable es el phishing sobre la renovación de la licencia, el seguro o la actualización del perfil de socio, con petición de datos de la tarjeta. Es más seguro renovar y pagar desde la cuenta de socio abierta manualmente, no a través de un enlace en un correo o SMS. Si indicó un contacto de emergencia, avísele: una llamada «del club» sobre un accidente en el sendero es una forma clásica de sacar dinero.

Si un correo de la base de datos es también el usuario de acceso en otro sitio, cambie esa contraseña y active la autenticación de dos factores. Si la federación confirma la brecha, el RGPD la obliga a notificarlo al regulador francés, la CNIL, en un plazo de 72 horas y a informar directamente a los socios cuando el riesgo sea alto.