World Triathlon ha confirmado un ciberataque que ha permitido acceder y descargar información personal de deportistas, entrenadores, oficiales y federaciones nacionales. Entre los datos comprometidos figuran nombres, direcciones, historiales de competiciones y, especialmente preocupante, información médica facilitada por los atletas, como alergias, enfermedades o medicación. La federación internacional también advierte de intentos de fraude mediante correos electrónicos que suplantan direcciones legítimas.
El incidente fue comunicado a las federaciones nacionales mediante un escrito firmado por Jon Wyatt, secretario general de World Triathlon. La Federación Irlandesa de Triatlón publicó el 13 de noviembre de 2026 el contenido íntegro de la comunicación, confirmando la gravedad de una brecha de seguridad que la organización detectó el pasado 8 de noviembre.
La investigación continúa abierta y todavía no se conoce cuántas personas están afectadas ni el alcance geográfico definitivo de los datos sustraídos. Tampoco se ha confirmado públicamente qué deportistas españoles pueden encontrarse entre los afectados.
Cómo consiguieron acceder a las bases de datos de World Triathlon
Según la comunicación oficial, una persona o grupo externo aprovechó ilegalmente una vulnerabilidad de seguridad en Metabase, una herramienta utilizada para consultar, analizar y presentar información almacenada en bases de datos.
El acceso no autorizado permitió extraer información en distintas ocasiones. World Triathlon ha confirmado que el 6 de noviembre se copiaron tablas completas de sus bases de datos. Un día después, el 7 de noviembre, apareció en un foro de ciberdelincuencia una publicación que afirmaba ofrecer los datos para su descarga.
La federación internacional detectó el incidente el 8 de noviembre y desactivó ese mismo día la herramienta afectada. Su página oficial de estado de los sistemas registra una incidencia de seguridad relacionada con Metabase y las integraciones del gestor de contenidos y del sistema de inscripciones, que quedó resuelta operativamente el 9 de noviembre.
Cronología del incidente
Noviembre de 2026 · Información comunicada por World Triathlon
6 NOVIEMBRE
Extracción de datos
Los atacantes copian tablas completas de las bases de datos de World Triathlon.
7 NOVIEMBRE
Oferta de datos en un foro
Una publicación afirma poner la información a disposición de terceros. La difusión efectiva no se ha cuantificado.
8 NOVIEMBRE
Detección y respuesta
World Triathlon identifica la brecha y desactiva la herramienta afectada.
9 NOVIEMBRE
Restablecimiento operativo
La página de estado comunica la resolución de la incidencia técnica. La investigación de seguridad continúa.
13 NOVIEMBRE
Comunicación pública
Triathlon Ireland publica el aviso oficial de World Triathlon dirigido a sus federaciones miembro.
Qué datos se han sustraído: desde resultados deportivos hasta información médica
La brecha no se limita a una lista de direcciones de correo electrónico. Según el comunicado, los atacantes obtuvieron diferentes tipos de información almacenada en los sistemas de World Triathlon, correspondientes a varios colectivos vinculados con el deporte.
INFORMACIÓN COMPROMETIDA
Deportistas y participantes
Nombres, direcciones de correo electrónico y postales, país, federación nacional, inscripciones e historial de resultados.
Datos médicos
Información de salud facilitada para la atención médica en competiciones, incluyendo alergias, enfermedades y medicación declarada.
Entrenadores y oficiales técnicos
Cargos, evaluaciones y certificaciones, además de información de contacto.
Federaciones y cuentas de acceso
Contactos de federaciones y confederaciones, junto con registros de contraseñas almacenadas mediante funciones hash.
El aspecto especialmente delicado es la presencia de información médica. Los deportistas pueden facilitar estos datos para que los delegados médicos dispongan de información relevante en caso de necesitar atención durante una competición. Hablamos, por tanto, de datos que tienen una finalidad de seguridad y asistencia sanitaria, pero cuya exposición supone un problema de privacidad especialmente sensible.
World Triathlon confirma que esa información médica fue descargada, aunque todavía no ha detallado cuántos registros contenían datos de salud ni a qué competiciones o periodos correspondían.
La organización asegura que no se accedió a información financiera. Es importante distinguir este extremo de los intentos de fraude posteriores: no tener acceso a datos bancarios no impide que alguien utilice nombres, correos electrónicos y relaciones profesionales para enviar solicitudes de pago fraudulentas.
Contraseñas comprometidas: ¿qué significa que estuvieran almacenadas mediante hash?
Entre la información afectada también figuran registros de contraseñas correspondientes a las plataformas NF Portal y Entries, utilizadas en la gestión federativa y de inscripciones.
World Triathlon explica que las contraseñas estaban almacenadas mediante funciones hash, un procedimiento que evita conservar directamente el texto original de la contraseña. Esto supone una protección importante frente a una filtración, pero no significa que todas las claves estén automáticamente a salvo.
Un atacante que obtenga estos registros podría intentar recuperar contraseñas débiles mediante ataques de diccionario o fuerza bruta, dependiendo del algoritmo utilizado, su configuración y las medidas adicionales de protección. World Triathlon no ha publicado suficientes detalles técnicos para evaluar ese riesgo concreto.
Como medida preventiva, el organismo ha restablecido las contraseñas de todas las cuentas afectadas de NF Portal y Entries y ha cerrado las sesiones que permanecían abiertas.
Quienes hayan utilizado una contraseña igual o similar en otros servicios deberían cambiarla también en esas plataformas, especialmente si comparten claves entre cuentas personales, federativas o profesionales.
Metabase ya había comunicado una vulnerabilidad grave en agosto
Hay otro dato que aporta contexto técnico a lo sucedido. Metabase, el software utilizado por World Triathlon para consultar y analizar sus bases de datos, ya había informado públicamente de una vulnerabilidad grave de seguridad en agosto de 2026.
En un comunicado publicado el 6 de agosto, la empresa reconoció que un atacante había utilizado una vulnerabilidad hasta entonces desconocida para acceder a determinadas instalaciones de su plataforma.
Metabase explicó que el fallo podía permitir a los atacantes obtener privilegios administrativos y acceder a credenciales y datos de las bases conectadas al sistema. La compañía publicó actualizaciones de seguridad y recomendó expresamente actualizar las instalaciones, especialmente las gestionadas por los propios clientes.
Sin embargo, no se ha confirmado que el ataque sufrido por World Triathlon corresponda a aquella misma vulnerabilidad. Tampoco sabemos qué versión de Metabase utilizaba la federación internacional en el momento del incidente ni si existían actualizaciones pendientes.
Relacionar ambos hechos es pertinente para comprender los riesgos de una herramienta conectada a bases de datos, pero todavía no permite establecer responsabilidades técnicas concretas.
World Triathlon alerta de correos falsos y solicitudes de pago fraudulentas
Uno de los aspectos más preocupantes de la comunicación es que World Triathlon ya advierte a sus federaciones de intentos de fraude mediante la utilización de dominios de correo electrónico similares a los legítimos.
El organismo señala que se han producido solicitudes para realizar pagos a nuevas cuentas bancarias mediante direcciones que intentan hacerse pasar por contactos habituales.
La información personal y profesional obtenida durante un ciberataque puede utilizarse para construir mensajes convincentes. Conocer el nombre, la federación, los contactos y el historial de participación de un deportista facilita la elaboración de comunicaciones que aparentan proceder de una organización conocida.
Por eso la recomendación es especialmente relevante para federaciones nacionales, clubes, entrenadores, oficiales y deportistas que participan habitualmente en competiciones internacionales.
Qué hacer si tienes relación con World Triathlon
- Desconfía de solicitudes inesperadas de pago. Especialmente si comunican un cambio de cuenta bancaria o piden una transferencia urgente.
- Verifica las instrucciones por otro canal. Llama a un contacto conocido utilizando un número que ya tengas, no el que figure en el mensaje sospechoso.
- Revisa tus contraseñas. Si reutilizaste las de NF Portal o Entries en otros servicios, sustitúyelas por contraseñas únicas.
- Activa la autenticación multifactor cuando el servicio lo permita.
- Vigila los mensajes personalizados. Que un correo conozca tu nombre, tu federación o una competición en la que participaste no garantiza que sea legítimo.
- Presta atención a las notificaciones oficiales. World Triathlon ha anunciado que contactará directamente por correo electrónico con las personas afectadas.
La dirección comunicada por World Triathlon para remitir incidencias técnicas o mensajes sospechosos es technology@triathlon.org. Para consultas legales relacionadas con el incidente facilita legal@triathlon.org.
¿Hay triatletas españoles afectados?
Es una de las preguntas que todavía no tiene respuesta pública.
El comunicado incluye entre los datos comprometidos información de federaciones nacionales, entrenadores, oficiales, deportistas de élite y grupos de edad. Pero World Triathlon no ha proporcionado una cifra total de afectados ni un desglose por países.
Por tanto, no podemos confirmar cuántos deportistas españoles se han visto afectados, ni tampoco descartar que existan registros correspondientes a España. La ausencia de un desglose público no significa que los datos españoles hayan quedado fuera de la brecha.
En el momento de elaborar esta información, Trigloberos no ha localizado un comunicado público específico de la Federación Española de Triatlón sobre el incidente. World Triathlon sí ha pedido a las federaciones nacionales que informen a sus miembros y revisen sus posibles obligaciones de notificación conforme a la normativa aplicable.
La federación internacional asegura haber comunicado el incidente a la policía suiza y a la autoridad federal suiza de protección de datos, además de activar las notificaciones correspondientes bajo los marcos normativos de protección de datos de la Unión Europea y Reino Unido.
También ha contratado a una empresa especializada en ciberseguridad para realizar una investigación forense, ha cambiado las credenciales de las bases de datos afectadas y ha preservado las evidencias del incidente.
Un incidente que va más allá de los resultados deportivos
El caso vuelve a poner sobre la mesa una cuestión cada vez más importante para las organizaciones deportivas: la cantidad de información personal que almacenan y gestionan.
Las federaciones internacionales no custodian únicamente clasificaciones, calendarios o licencias. Sus sistemas también pueden contener datos de contacto, evaluaciones profesionales, información administrativa e historiales médicos que los participantes facilitan por razones de seguridad.
El incidente de World Triathlon demuestra que una vulnerabilidad en una herramienta utilizada para consultar esos datos puede tener consecuencias que van mucho más allá de una interrupción temporal de sus servicios.
La federación internacional ha anunciado medidas de contención y una investigación en marcha. Pero quedan pendientes cuestiones importantes: cuántas personas están afectadas, qué alcance tienen las copias descargadas, cuál fue la vulnerabilidad exacta utilizada y qué medidas adicionales se adoptarán para evitar una situación similar.
La investigación técnica podrá determinar cómo se produjo el ataque. Para deportistas, entrenadores y federaciones, lo urgente ahora es conocer si sus datos han sido comprometidos y disponer de información suficiente para protegerse.
Información actualizada a 14 de noviembre de 2026. El incidente continúa bajo investigación y pueden producirse nuevas comunicaciones oficiales.
