El deporte profesional ya no se juega solo en el campo. Los datos de rendimiento, salud y negocio que mueven a la industria se han convertido en un objetivo prioritario para la ciberdelincuencia. En este artículo, Josep Salvador López explica cómo en un ecosistema valorado en 3,7 billones de dólares para 2030, un ataque no solo puede paralizar una operación, sino alterar el resultado de una competición.

El mundo del deporte profesional ha pasado de basarse en rituales antiguos a tener que convivir con tecnología de última generación. La charla previa al partido sigue siendo cara a cara, pero la preparación y la competición ya no se entienden sin datos. Cada sprint queda registrado por GPS, cada carga de trabajo se cruza con historiales de lesiones, cada patrón táctico se estudia con vídeo etiquetado y cada relación con la afición se gestiona con sistemas de ticketing y comercio electrónico.

Ese ecosistema digital, que hace al deporte más eficiente y más competitivo, también lo convierte en un objetivo atractivo para la ciberdelincuencia. La amenaza ya no entra solo por el correo del departamento de administración. Puede aparecer en el portátil del analista, en una cuenta de un proveedor de software, en una plataforma de ticketing o en la gestión documental de una federación.

Resulta esencial no trata esta situación como un asunto puramente técnico para ser capaz de entender la magnitud de la situación. En el deporte profesional y semiprofesional la ciberseguridad es gobernanza, continuidad de negocio y reputación; esto se traduce en una ventaja competitiva valorada, según el informe Sports for People and Planet, elaborado por el Foro Económico Mundial (WEF) y la consultora estratégica Oliver Wyman, en 3,7 billones de dólares anuales para el año 2030. Un atacante puede buscar dinero mediante ransomware y extorsión, pero también puede buscar acceso a información sensible que afecte a contratos, fichajes, scouting, tácticas o estado físico de jugadores. Y cuando el objetivo no es el club, suele ser su perímetro ampliado. Federaciones, ligas, academias, clínicas, agencias, proveedores de vídeo, sistemas del estadio y hasta cuentas de correo de organismos reguladores forman parte de la misma cadena. Basta un eslabón débil para comprometer el conjunto.

➡️ Te puede interesar: El uso de bots en la campaña presidencial del Real Madrid: cuando la guerra híbrida entra en el ámbito deportivo

Hablamos desde el prisma de los actores estatales y la soberanía del dato, donde el deporte emerge hoy como una infraestructura crítica; un nuevo paradigma que se integra y mimetiza en la gramática de los conflictos híbridos y los planteamientos estratégicos de nuestra era. 

El nuevo valor del dato: el objetivo favorito de la ciberdelincuencia

Para entender por qué la ciberdelincuencia se fija en el deporte conviene identificar qué datos valen oro. En una empresa tradicional el dato suele clasificarse por su impacto financiero, legal o reputacional. Casos como el del equipo de baloncesto francés LDLC ASVEL con la filtración de 32 GB de datos, que incluye información de los jugadores (como pasaportes y documentos de identidad), contratos, acuerdos de confidencialidad y diversa documentación legal. Y es que en el deporte se suma una dimensión adicional, ya que el dato puede alterar el rendimiento y, por extensión, la competición.

• Hay una primera capa ligada al rendimiento. Incluye métricas de carga, velocidad, distancia, fatiga, patrones de entrenamiento, informes de vídeo, análisis de rivales, indicadores de forma, planes de partido y modelos de predicción. En el contexto adecuado, ese conocimiento marca diferencias marginales que deciden una temporada. 
• Una segunda capa es la de salud y bienestar. Informes médicos, diagnósticos, tratamientos, lesiones, pruebas y seguimientos. Es información especialmente sensible, no solo por privacidad sino porque puede condicionar negociaciones, disponibilidad y percepción pública. 
• La tercera capa es la de identidad y negocio. Contratos, nóminas, documentación de jugadores y staff, pagos, patrocinios, litigios, comunicaciones internas, estrategia corporativa. 
• La cuarta capa es la de afición y consumo. Datos personales y hábitos de compra, abonos, entradas, preferencias, marketing, fidelización. Es un activo masivo y monetizable y además sirve para campañas de fraude y suplantación muy efectivas.

Esta mezcla de datos explica la diversidad de impactos de un incidente. Un club puede sufrir un ataque que no afecte al marcador en el corto plazo, pero sí paralice su operación de día de partido, destruya confianza y lo exponga a sanciones regulatorias. Un ataque también puede no ser destructivo y aun así ser grave si implica exfiltración y amenaza de publicación, un patrón que se ha normalizado con el ransomware moderno. Casos como el mencionado de ASVEL o de los mismísimos Houston Rockets en 2021 son muestras de ello.

Así ataca hoy la ciberdelincuencia al mundo del deporte

Los vectores de ataque más comunes no son exóticos, funcionan porque aprovechan la realidad cotidiana del deporte con plantillas amplias, calendarios intensos, viajes, personal temporal y una red de proveedores extensa.

El phishing y el robo de credenciales siguen siendo una puerta de entrada frecuente. Un correo de apariencia legítima, una falsa solicitud de patrocinio, una supuesta reserva de hotel para un desplazamiento europeo o un mensaje que simula provenir de una liga o federación pueden bastar para comprometer una cuenta. A partir de ahí el atacante busca persistencia, escalado de privilegios y movimiento lateral. Cuando lo consigue, el impacto se amplifica porque muchas organizaciones deportivas tienen entornos heterogéneos y urgencias operativas que dificultan el control fino de accesos.

➡️ Te puede interesar: Terrorismo y contrainteligencia: enfoques con estrategia para poder proteger a la sociedad

La cadena de terceros es el otro gran acelerador del riesgo. Centro médicos deportivos, agencias, software de gestión deportiva, herramientas de vídeo y analítica, servicios en la nube, consultoras, operadores del estadio y proveedores de pagos manejan credenciales, integraciones y APIs. En ocasiones el ataque no necesita comprometer el núcleo del club, basta con entrar por un proveedor que tenga acceso legítimo. 

A este mapa se suma el ransomware con exfiltración. No se trata únicamente de cifrar servidores. El modelo de negocio criminal se ha refinado hacia la doble extorsión. Primero se roba información y luego se amenaza con publicarla o venderla si no se paga.

Los patrones de ataque que el deporte no puede ignorar

El primer patrón es el de la puerta pequeña y el impacto grande. Una cuenta comprometida puede abrir el acceso a datos masivos. La lección no es solo que el phishing funciona, es que la superficie de privilegios suele ser demasiado amplia y la segmentación de accesos insuficiente para contener el daño.

El segundo patrón es el del ecosistema como objetivo. El club no es una isla. Un atacante puede optar por el camino de menor resistencia, que suele estar en un proveedor, en una plataforma de gestión o en un servicio con menos madurez de seguridad. Por eso la seguridad contractual, la revisión de integraciones y el control de accesos de terceros son tan relevantes como el antivirus del portátil de un entrenador.

El tercer patrón es el del impacto reputacional. El ransomware moderno explota la ansiedad de la exposición pública. En el deporte esa ansiedad es intensa porque la reputación es un activo comercial directo. Patrocinios, renovación de abonos y percepción de profesionalidad se ven afectados por la forma en que una organización maneja un incidente.

El daño que no aparece en el marcador pero destruye al club

En el imaginario colectivo el deporte se mide por el resultado. Sin embargo, muchos de los efectos de la ciberdelincuencia se manifiestan fuera del terreno de juego.

La continuidad operativa es uno de ellos. Un problema en ticketing, accesos, acreditaciones o sistemas de venta afecta a ingresos y a experiencia de afición. Además, los días de partido son ventanas de máxima exposición, con presión por mantener servicios y con personal adicional que necesita accesos temporales. Eso complica el principio de mínimo privilegio, justo cuando más falta hace.

➡️ Te puede interesar: Doxing automatizado: cuando la inteligencia artificial se convierte en el mayor enemigo de la privacidad

El cumplimiento regulatorio y la privacidad son otro eje. En contextos sujetos al RGPD, la filtración de datos personales obliga a valorar notificación, medidas de mitigación y posibles sanciones. En el deporte, la sensibilidad crece con los datos de salud y con la condición pública de los afectados. Incluso cuando no se roban contraseñas o datos bancarios, la información personal puede alimentar campañas de suplantación y fraude.

La ventaja competitiva es el impacto menos visible y, en ciertos casos, el más inquietante. Si un atacante obtiene acceso a análisis de rivales, informes de scouting o datos de rendimiento, el daño puede ser estratégicamente irreversible (como le ocurrió a la escudería Ferrari en marzo de 2023, justa antes del inicio del campeonato mundial de Fórmula 1). Es difícil medirlo y por eso suele subestimarse. Y precisamente por ser difícil de probar es un incentivo potente para actores que busquen monetizar información en mercados grises, o para operaciones de espionaje que no buscan notoriedad.

Existe también un componente humano que a menudo se omite. La exposición de datos personales puede derivar en acoso, doxing o amenazas, y en el deporte la visibilidad amplifica el riesgo. La organización puede recuperar servidores, pero no puede borrar un dato una vez ha circulado. Por eso la prevención, más que la reacción, determina el coste real.

Un marco de abordaje para un deporte que ya es digital

Desde la perspectiva de la inteligencia artificial, el valor estratégico de los datos en el ámbito deportivo ha crecido de forma notable. Modelos predictivos son empleados en muchos aspectos dentro de este campo, desde el rendimiento deportivo hasta el scouting, pasando por el análisis táctico, donde son alimentados con grandes volúmenes de información que, si son comprometidos, pueden representar una ventaja competitiva con la que se obtengan victorias y hasta incluso campeonatos. Es en este escenario donde proteger los datos custodiar los datos no solo es una cuestión de privacidad o cumplimiento, sino también de protección del conocimiento competitivo del club en cuestión.

La IA está, por tanto, marcando un antes y un después en la ciberseguridad misma. Sistemas de detección basados en aprendizaje automático permiten identificar comportamientos anómalos en redes, accesos o transferencias de información. En organizaciones deportivas, donde los picos de actividad coinciden con eventos, viajes o competiciones, este tipo de análisis automatizado resulta especialmente útil para diferenciar entre actividad legítima y posibles intrusiones. 

Paradójicamente, de la misma forma, también está siendo utilizada por los atacantes donde con herramientas generativas permiten crear campañas de phishing cada vez más sofisticadas y personalizadas, capaces de imitar el tono de comunicación de ligas, patrocinadores o agencias deportivas. Esto incrementa la probabilidad de éxito de los ataques y obliga a reforzar tanto los controles técnicos como la formación del personal.

➡️ Te puede interesar: La inteligencia artificial en el Informe de Seguridad Nacional 2025: amenazas y respuestas

Lo que nos lleva a la premisa de que la adopción de inteligencia artificial en el deporte exige incorporar mecanismos de gobernanza del dato. Los modelos de aprendizaje automático requieren trazabilidad, control de accesos y protección frente a exfiltraciones. En un entorno competitivo, proteger los datasets y los modelos entrenados se convierte en una extensión natural de la protección de la propiedad intelectual de la institución deportiva en cuestión.

Y es que en el deporte, donde la agilidad importa, la ciberseguridad necesita ser por capas y compatible con la operación. Es recomendable seguir estos pasos para evitar situaciones como las mencionadas:

• El primer paso es el inventario y la clasificación. Saber qué datos existen, dónde residen, quién accede y qué proveedor interviene. Clasificar por categorías como rendimiento, salud, personal y negocio ayuda a priorizar controles, porque no todo requiere el mismo nivel de protección. 
• El segundo paso es el gobierno de identidades. MFA robusto, mínimos privilegios, revisión de permisos, alta y baja rigurosa de staff temporal, control de cuentas compartidas. Si la puerta pequeña abre un impacto grande, la identidad es el cerrojo principal.
• El tercer paso es la segmentación. Separar entornos de rendimiento de los financieros y de los de invitados reduce el movimiento lateral cuando algo falla. 
• El cuarto paso es cifrado y gestión de fugas cuando tenga sentido. El cifrado en reposo y en tránsito es básico, pero también lo es reducir copias no controladas y establecer políticas de partición seguras. 
• El quinto paso es resiliencia operativa. Backups con estrategia 3 2 1, pruebas reales de restauración y playbooks de incidentes. La pregunta crítica no es si habrá un incidente, sino cuánto tardará en detectarse y cuánto costará recuperarse.
• El sexto paso es la gestión de terceros. Evaluación previa, cláusulas de seguridad y notificación, auditoría de accesos, revisión de APIs y segregación contractual. En un mundo de software deportivo especializado y servicios en la nube, el tercero es parte del perímetro. 
• El séptimo paso es formación contextual. No basta con charlas genéricas. El deporte necesita formación centrada en escenarios reales como viajes, suplantación de agentes, comunicaciones con ligas, campañas de entradas, redes sociales de jugadores y staff, y presión mediática durante competiciones.
• Y el octavo paso, que muchos olvidan, la narrativa pública o control de daños. Gestionar un incidente en el deporte es gestionar también la confianza. Un mensaje claro a socios y aficionados, una postura responsable respecto a datos personales y una coordinación entre legal, comunicación y tecnología reducen daño secundario.

El cambio de paradigma: la detección temprana como única garantía de éxito

La transformación del deporte profesional, donde el vestuario se apoya directamente en el servidor, ya no es una simple evolución de procesos para convertirse en un asunto de seguridad corporativa y de relevancia geoestratégica. En un ecosistema cuya economía se proyecta en 3,7 billones de dólares anuales para el año 2030, el control de la información trasciende el mero ámbito de la competición de fin de semana. Los datos que antes solo servían para registrar un sprint o estudiar un patrón táctico hoy representan activos de inteligencia pura capaces de alterar el rendimiento y la propia competición.

Cuando analizamos la ciberdelincuencia en este sector, no nos referimos a simples incidentes técnicos aislados, sino a operaciones que amenazan a todo el perímetro ampliado de la industria, desde federaciones y ligas hasta agencias y organismos reguladores.

El refinamiento del crimen organizado hacia la doble extorsión y el uso de inteligencia artificial para sofisticar las campañas de ataque evidencian que el deporte es un teatro de operaciones sumamente atractivo. 

➡️ Te puede interesar: Armas del futuro: ¿la inteligencia artificial definirá la seguridad y la defensa del siglo XXI?

La exfiltración de informes médicos, métricas de rendimiento o documentos contractuales a menudo no busca la ruidosa parálisis del ransomware tradicional , sino alimentar mercados grises de información o sutiles operaciones de espionaje que no buscan notoriedad. Al mismo tiempo, la integración de modelos predictivos en el scouting y la táctica convierte a los datasets y modelos entrenados en una extensión crítica de la propiedad intelectual de las instituciones. Proteger esta soberanía del dato no es una simple cuestión de privacidad o cumplimiento normativo , sino una exigencia de gobernanza y continuidad de negocio que requiere una defensa por capas adaptada a la intensa agilidad operativa del sector.

Estamos en un escenario donde el éxito de los actores deportivos ya no se medirá exclusivamente por sus resultados en el marcador o su masa social, sino por su capacidad de anticipar, segmentar, detectar, responder y comunicar ante las amenazas digitales. Ignorar la naturaleza transversal de este riesgo, que se mueve con total fluidez entre personas, procesos y tecnología , equivale a dejar desprotegida una cadena de valor estratégica que abarca el rendimiento, la salud, el negocio y la afición. Dado que los datos compiten hoy con la misma intensidad por generar ventajas competitivas que por ser robados, la ciberseguridad debe consolidarse como un pilar innegociable de la inteligencia corporativa. En esta nueva dimensión del juego, la preparación minuciosa y anticipada lo es, una vez más, prácticamente todo.

➡️ Si quieres ser un experto en Ciberseguridad, te recomendamos el siguiente curso formativo:

• Curso de Prevención y Gestión de Ciberriesgos y Ciberataques
• Curso de Concienciación en Ciberseguridad
• Curso de Director de Ciberseguridad