El club parisino de rugby Stade Francais, de la liga Top 14, ha confirmado que es víctima de un ciberataque, y según informes, los documentos de identidad de los jugadores están siendo retenidos como rescate.

Se ha informado que los ciberdelincuentes han amenazado con publicar documentos relacionados con los jugadores, tras haber divulgado ya documentos identificables pertenecientes a 18 jugadores. La exposición de documentos de identidad como pasaportes o documentos de identidad nacional conlleva un riesgo significativo de robo de identidad y fraude para las personas afectadas, una preocupación acentuada bajo el estricto régimen de protección de datos de Francia, donde las organizaciones están obligadas a notificar a la CNIL, la autoridad nacional de protección de datos, sobre las brechas graves de datos personales sin demora indebida.

"Se han implementado medidas inmediatas de contención, investigación y recuperación para asegurar los sistemas afectados y garantizar la continuidad del negocio", declaró el club de rugby francés en un comunicado.

Stade Francais se enfrentará a los Vodacom Bulls, Northampton Saints, Bath Rugby y Cardiff Rugby en la Investec Champions Cup de este año. El club es dirigido en parte por el exentrenador de Harlequins Paul Gustard y la temporada pasada contó con el centro de la selección inglesa Joe Marchant, quien ha regresado a la Premiership de cara a la próxima temporada.

Algunos informes han señalado que el autor del ataque podría ser Qilin, un grupo de ransomware de habla rusa. Qilin tradicionalmente ha exigido pagos altos de rescate y, según informes, fue responsable de hackear al proveedor de servicios médicos del NHS, Synnovis, en 2024. Los operadores de ransomware como Qilin suelen emplear un modelo de "doble extorsión", cifrando los sistemas de las víctimas mientras amenazan simultáneamente con publicar los datos robados para aumentar la presión y forzar el pago, lo que convierte a las organizaciones deportivas —custodios de información contractual, médica y personal sensible— en objetivos particularmente atractivos.

Servicios en línea no afectados

Las ventas de entradas en línea, la tienda del club y los sitios web de mercancía no se han visto afectados por la brecha.

El ataque es el más reciente de una serie de incidentes cibernéticos dirigidos contra organizaciones deportivas en la última década. En 2021, los Houston Rockets de la NBA recibieron amenazas de una filtración masiva de datos, mientras que el club de fútbol Ajax tuvo vulnerabilidades web expuestas por ciberdelincuentes a principios de este año.

Los Juegos Olímpicos también fueron blanco de ataques tanto en 2018 como en 2026, y la Federación Francesa de Rugby fue previamente víctima de un bloqueo operativo causado por ransomware.

Informes de la industria en 2023 sugirieron que Stade Francais, uno de los dos clubes parisinos de la Top 14, había filtrado inadvertidamente el código fuente de su servidor, exponiendo públicamente información que podría haber permitido a actores realizar cambios en el sitio web del club.

Stade Francais ha presentado una denuncia ante las autoridades correspondientes antes del regreso de la Top 14 en septiembre, con el club programado para recibir a Perpignan.