El Stade Français confirmó el jueves haber sufrido un ciberataque que afecta a parte de su sistema informático. El club ha presentado una denuncia e informado a las autoridades. En el otro lado, el grupo Qilin lanzó una cuenta atrás el 5 de agosto y publicó dieciocho fotografías de pasaportes y documentos de identidad de jugadores como prueba de su intrusión. Exige un rescate antes del 15 de agosto. Lo que llama la atención, más allá del club afectado, es la mecánica empleada: está perfectamente engrasada.

Qué es realmente Qilin

Qilin no es una banda de piratas aislados que haya elegido un club de rugby al azar. Es lo que se llama un ransomware como servicio. Un núcleo técnico desarrolla y mantiene la herramienta de cifrado, la infraestructura de negociación y el sitio de publicación de datos. Unos afiliados alquilan después ese arsenal y se encargan de las intrusiones, entregando a cambio una parte de lo que cobran.

Esta organización explica dos cosas. Primero el volumen: estos grupos golpean a decenas de víctimas al mes, en todos los sectores, sin ninguna lógica sectorial. Después la aparente profesionalización: los plazos, las páginas de negociación, las pruebas publicadas siguen un guion idéntico de una víctima a otra.

La doble extorsión, el verdadero cambio

Durante mucho tiempo, un ransomware se limitaba a cifrar los archivos. La víctima pagaba para obtener la clave de descifrado, o restauraba sus copias de seguridad y no pagaba nada. Cuando las empresas acabaron haciendo copias de seguridad correctamente, el modelo de negocio se hundió.

La respuesta de los atacantes se llama doble extorsión, y es exactamente lo que está pasando aquí. Antes de cifrar nada, se exfiltran los datos. El cifrado paraliza la actividad, pero es la amenaza de publicación la que ejerce el chantaje. Restaurar una copia de seguridad ya no sirve de nada: los datos ya han salido.

Por eso el Stade Français se encuentra en una posición incómoda aunque haya podido restablecer sus sistemas. Pagar, además, no garantiza nada, porque nada obliga a un grupo criminal a destruir lo que ha copiado.

Por qué publicar dieciocho documentos de identidad

No es crueldad gratuita, es una herramienta de negociación. La publicación de una muestra cumple tres funciones: probar que la intrusión es real y no un bluf, demostrar la naturaleza sensible de lo robado, e instalar la presión mostrando a la víctima lo que le espera llegado el plazo.

La cuenta atrás mostrada públicamente forma parte del mismo mecanismo. Convierte una negociación privada en un evento visible, lo que suma el riesgo reputacional al riesgo operativo.

El verdadero perjudicado no es el club

Un club compra servidores nuevos. Un jugador no puede comprar una identidad nueva.

Esta es la parte que la palabra « ciberataque » oculta, porque evoca ordenadores en lugar de personas. Una foto de pasaporte en claro no es un dato abstracto. Es lo que hace falta, hoy, para abrir una cuenta bancaria online a tu nombre, solicitar un crédito al consumo, contratar una línea telefónica o presentarse en tu lugar en una ventanilla administrativa.

Y, a diferencia de una tarjeta bancaria, un pasaporte no se puede anular. No puedes llamar a un número para cancelarlo y recibir uno nuevo en ocho días. El documento sigue siendo válido durante años, y el número sigue siendo el tuyo. Un jugador afectado hoy puede ver aparecer una solicitud de crédito fraudulenta dentro de dos años, sin relacionarla nunca con el verano de 2026.

Por eso pagar o no pagar no resuelve la cuestión. Aunque el club pagara, nadie garantizaría que las copias se destruyen. El archivo ya salió, no vuelve a entrar.

En concreto, quién hace qué ahora

Para el club, hay dos obligaciones distintas de la denuncia. Debe avisar a la CNIL en un plazo de setenta y dos horas, y avisar individualmente a cada jugador afectado, porque una filtración de documentos de identidad supone un riesgo elevado para las personas.

Para los jugadores, la defensa es menos espectacular pero real: vigilar los extractos bancarios, desconfiar de llamadas y mensajes que dicen venir de un banco o una administración, y, en caso de duda, dejar constancia del incidente. Los usurpadores rara vez empiezan por el golpe grande, primero prueban.

Un punto ciego del deporte profesional

Un club de Top 14 concentra datos que muchas empresas de tamaño comparable no tienen: contratos, elementos de retribución, documentos de identidad, información médica, datos de contacto de menores del centro de formación. Los medios informáticos, en cambio, son los de una pyme.

Es ese desajuste el que explota este tipo de ataque. El Stade Français es el primer club de la élite francesa en encontrarse públicamente en esta situación. Hay pocos motivos para pensar que será el último.