La Administración del Ciberespacio de China sanciona casos de filtración de datos y fallos de seguridad

La Administración del Ciberespacio de China ha informado sobre una serie de casos típicos de cumplimiento de la ley que involucran la alteración de páginas web, la filtración de datos y la vulneración de la información personal.

En Shanghai, una empresa electrónica fue multada luego de que su portal fuera atacado en abril de 2026 debido a contraseñas débiles en las cuentas de administrador, lo que permitió la inserción de código malicioso y la difusión de información ilegal. En Beijing, una empresa de tecnología fue sancionada porque un ex empleado implantó un programa malicioso en una aplicación con 350,000 usuarios para obtener tarifas de promoción, redirigiendo a los usuarios a enlaces publicitarios.

Una empresa de industria de datos en Anhui sufrió el robo de más de 2,400 documentos internos, incluyendo informes de auditoría y contratos, debido al uso de una versión de código abierto de ES con vulnerabilidades de acceso no autorizado y la falta de eliminación de datos de prueba. En Henan, un hospital fue sancionado por mantener 700 vulnerabilidades de seguridad, incluyendo 73 de alto riesgo, debido a que sus equipos de seguridad, como el cortafuegos y los sistemas de auditoría, habían caducado.

En Guangdong, una empresa de software fue advertida por vulnerabilidades en un producto de hardware que permitían acceder a la consola de control y ver el estado de vehículos sin autenticación, además de no cifrar la información personal transmitida vía WeChat. En Zhejiang, una aplicación de gestión deportiva fue sancionada por exigir obligatoriamente permisos de ubicación, teléfono y almacenamiento bajo el pretexto de evitar trampas, negando el servicio si el usuario no aceptaba.

Una inmobiliaria en Chongqing fue multada por recolectar más than 5,000 datos faciales de clientes mediante más de 10 dispositivos de captura sin el consentimiento individual necesario. En Shanghai, otra empresa tecnológica fue multada por recolectar excesivamente datos de configuración de host y tiempo de uso, y transferir información personal, como nombres y contraseñas, a centros de datos en el extranjero sin la evaluación de seguridad requerida.

Finalmente, una empresa en Sichuan tuvo que retirar un programa de WeChat que ofrecía servicios de texto e imágenes generados por inteligencia artificial sin incluir las etiquetas obligatorias ni realizar evaluaciones de seguridad. En Jiangsu, una empresa fue advertida por operar dos sitios web que utilizaban interfaces de modelos grandes como estaciones de transferencia de API para servicios de diálogo sin realizar las evaluaciones de seguridad correspondientes.