Me han hackeado la web: ¿es responsable el hosting, la agencia o yo?

La respuesta corta

Por qué eres tú: el RGPD llama responsable del tratamiento a quien decide para qué y cómo se usan los datos personales, y en una tienda o una web con formularios ese eres tú. El hosting y la agencia, cuando tratan esos datos por encargo tuyo, son encargados del tratamiento: tienen sus propias obligaciones, pero no sustituyen las tuyas.

Qué dice el RGPD

• Artículo 32 (seguridad): responsable y encargado tienen que aplicar medidas de seguridad adecuadas al riesgo. Para una web, eso incluye cosas tan básicas como tener el software actualizado y copias que se puedan restaurar.
• Artículo 28 (encargados): quien trata datos por cuenta tuya (hosting, agencia, mantenimiento) debe hacerlo con un contrato o acuerdo que fije qué hace con ellos y qué medidas de seguridad aplica.
• Artículo 33 (notificación): si hay una brecha de datos personales, tú la notificas a la AEPD sin dilación y, si es posible, en un máximo de 72 horas desde que lo sabes, salvo que sea improbable que suponga un riesgo. El encargado que la descubre tiene que avisarte a ti sin dilación indebida.
• Artículo 82 (responsabilidad): el encargado solo responde de los daños cuando no ha cumplido las obligaciones que el reglamento le impone a él o ha actuado fuera de tus instrucciones.

Cómo notificar, paso a paso y con la herramienta de la AEPD para valorar el riesgo, en brecha de datos en tu tienda online.

El hosting: ¿me protege mi hosting compartido?

Un hosting compartido protege el servidor, no tu aplicación. Mantiene el sistema operativo y el servidor web, separa tu cuenta de las de otros clientes y suele ofrecer copias de seguridad y algún escáner de malware. Lo que pasa dentro de tu carpeta (un plugin de WordPress sin actualizar, un módulo de PrestaShop con un fallo publicado, una contraseña de administrador repetida) es cosa tuya salvo que tu plan diga expresamente otra cosa.

• Lee las condiciones de tu plan. Busca palabras como «actualizaciones automáticas», «eliminación de malware», «WordPress gestionado» o «copias de seguridad»: si están, el hosting asume esa parte; si no, no.
• El escáner del hosting avisa, no limpia. Muchos hostings detectan malware y te suspenden la cuenta o te mandan un aviso para proteger al resto de clientes. Es una buena señal de alarma, no una limpieza.
• Cuándo sí puede ser el hosting: si la intrusión entró por el servidor (otra cuenta del mismo servidor, el panel del hosting, una versión de PHP o del servidor web sin parchear que no puedes cambiar tú). Es poco frecuente y se demuestra con sus registros, no con suposiciones.
• Pídele los registros (logs de acceso y de errores) de los días del ataque: muchos hostings los guardan pocos días. Y las copias de seguridad anteriores a la intrusión, si las tiene.

La agencia o el desarrollador

Que una agencia te hiciera la web no la convierte en responsable de cualquier hackeo posterior. Los fallos de WordPress, PrestaShop y sus extensiones se descubren y se publican cada semana; si nadie actualiza la web después de entregarla, el riesgo crece con el tiempo aunque se entregara bien hecha.

• Si tienes contrato de mantenimiento con la agencia y el contrato incluye actualizaciones o seguridad, pregunta qué se actualizó y cuándo. Si la entrada fue un plugin o un módulo con un parche publicado hace meses que no se aplicó, es una conversación que hay que tener (y, si no se resuelve, con un abogado y el contrato delante).
• Si no hay contrato de mantenimiento, en general la agencia no responde de fallos publicados después de la entrega. Sí puede haber responsabilidad si dejó la web con algo mal hecho desde el principio: un módulo pirata (nulled), un usuario de administración con contraseña por defecto, una copia de seguridad pública o el modo depuración activado.
• Pide siempre los accesos y la lista de lo instalado: usuarios, plugins o módulos, de dónde salieron y sus licencias. Si cambias de proveedor, que te los entregue por escrito.

Lo que te toca a ti, en orden

1. Contener: si hay riesgo para los pagos o los datos, desactiva el método de pago afectado o pon la tienda en mantenimiento. Lo de la primera hora está en recuperar una web hackeada.
2. Guardar pruebas: copia de archivos, base de datos y registros tal como están, antes de limpiar. Sin ellas no podrás demostrar nada a nadie.
3. Valorar si hay datos personales afectados y, si los hay, notificar a la AEPD en 72 horas (y a los clientes si el riesgo es alto).
4. Limpiar y cerrar la entrada, con un informe de qué había y por dónde entraron.
5. Revisar contratos con el hosting y la agencia con ese informe delante, y decidir quién lleva el mantenimiento a partir de ahora.

Si necesitas orientación gratuita en España, el 017 de INCIBE es la línea de ayuda en ciberseguridad para ciudadanos, empresas y profesionales: gratuita y confidencial, de 8:00 a 23:00 todos los días, por teléfono, WhatsApp (900 116 117), Telegram (@INCIBE017) o formulario web. Te orientan sobre qué hacer; no limpian la web.

Si quieres que lo revise yo

La limpieza de un WordPress hackeado cuesta 219 € y la de una tienda PrestaShop o WooCommerce 349 €, IVA no incluido, con 90 días de garantía. Incluyen el informe con lo que había, por dónde entraron y desde cuándo, y en las tiendas, orientación técnica para la notificación a la AEPD. Para que no vuelva a pasar, el mantenimiento web cuesta 35 €/mes una web y 69 €/mes una tienda, sin permanencia. Más detalles en web hackeada.

Fuentes

• Reglamento General de Protección de Datos (RGPD), texto en el BOE: artículos 4 (responsable y encargado), 28, 32, 33 y 82.
• AEPD: guía para la gestión y notificación de brechas de datos personales
• AEPD: herramienta Asesora Brecha (valorar si hay que notificar)
• AEPD: notificación de brechas en la sede electrónica
• INCIBE: 017, línea de ayuda en ciberseguridad (gratuita; horario y canales)