Inditex hackeado vía proveedor externo: la lección RGPD para empresas

En la madrugada del 15 de abril de 2026, Inditex — el mayor grupo de moda del mundo y dueño de Zara, Bershka o Pull&Bear — confirmó un acceso no autorizado a bases de datos de su organización alojadas en un proveedor externo. No es un caso aislado: es la cuarta gran brecha en Europa en menos de dos semanas. Y su causa raíz es la misma que se repite una y otra vez: la seguridad de los datos no termina en los sistemas propios de la empresa.

Si tienes una cuenta en Zara o en cualquier tienda del grupo, lo primero que debes saber es que Inditex asegura que no se han comprometido datos personales como nombres, teléfonos, direcciones, contraseñas ni datos bancarios. Las bases de datos afectadas contenían información de la relación comercial con clientes — no el perfil personal de los usuarios.

Pero el caso tiene una dimensión mucho más relevante para cualquier empresa española que trabaje con proveedores tecnológicos externos. Y eso incluye prácticamente a todas.

Qué ha ocurrido exactamente

Inditex identificó un acceso no autorizado a bases de datos de su organización que estaban alojadas en un tercero — un proveedor tecnológico externo con el que la compañía había trabajado. El comunicado oficial remitido a EFE precisa que se trata de un «antiguo proveedor tecnológico» cuyo incidente de seguridad ha afectado a varias compañías con actividad internacional, no solo a Inditex.

La empresa aplicó de inmediato sus protocolos de seguridad y notificó a las autoridades competentes — en cumplimiento del artículo 33 del RGPD, que exige notificar las brechas de datos en un plazo máximo de 72 horas desde que se tiene constancia de ellas.

El origen del problema: la cadena de proveedores tecnológicos

Este es el dato más importante de todo el caso — y el que más debería preocupar a cualquier empresa española: el ataque no fue a los sistemas de Inditex, sino a los de un proveedor externo.

Inditex tiene uno de los departamentos de seguridad informática más avanzados del sector. Y aun así, un incidente en un tercero con el que había trabajado ha comprometido datos alojados en sus infraestructuras. No importa lo bien que protejas tus propios sistemas si uno de tus proveedores tiene una vulnerabilidad.

Abril de 2026: un mes que la historia de la ciberseguridad recordará

El incidente de Inditex no llega solo. En menos de dos semanas se han producido brechas de primera magnitud en Europa que juntas forman un patrón alarmante:

La pregunta que toda empresa debe hacerse hoy

¿Cuántos proveedores externos tienen acceso en este momento a datos de tu empresa — clientes, empleados, proveedores? ¿Tienen todos ellos firmado un contrato de encargado del tratamiento? ¿Has revisado sus medidas de seguridad? ¿Sabrías en menos de 72 horas si uno de ellos sufre una brecha?

Si la respuesta a alguna de estas preguntas es «no» o «no sé», tienes exactamente el mismo perfil de riesgo que Inditex tenía antes del 15 de abril. Con una diferencia importante: Inditex tiene equipos de seguridad dedicados y puede absorber el impacto reputacional. Una pyme o una mediana empresa, con mucha más dificultad.

El cumplimiento del RGPD en la gestión de proveedores no es burocracia — es la única protección real frente a este tipo de incidentes. Y el DPO externo es quien puede revisar sistemáticamente tu cadena de proveedores, detectar los contratos que faltan y establecer los protocolos de respuesta antes de que llegue la brecha.

Porque como demuestra este caso, la pregunta no es si un proveedor tuyo sufrirá un incidente de seguridad. Es cuándo — y si estarás preparado cuando ocurra.

Fuentes: El País, EFE, OKDiario, ADSLZone, Andalucía Información (15-16 de abril de 2026). Los datos del incidente han sido contrastados con el comunicado oficial de Inditex remitido a EFE.