Vodafone i Lowi: filtren documentacio interna i credencials d'acces a eines de televenda a traves d'un proveidor extern

El 29 de juny de 2026, un actor d'amenaces identificat com PescobarLegado va publicar en un for especialitzat de la dark web un paquet de dades d'1 GB que posa a la venda per 400 dolars. El lot no procedeix dels sistemes centrals de Vodafone, sino de Be Call BPO, l'empresa externalitzada que gestiona els serveis de captacio telefonica del grup per a les marques Vodafone i Lowi. Vodafone va confirmar a mitjans especialitzats que esta investigant els fets. El que fa especialment greu aquest incident no es nomes el volum de registres exposats, gairebe un milio segons el full de seguiment publicat per l'atacant, sino la naturalesa de la informacio: documentacio interna, fluxos operatius i instruccions d'acces a les eines critiques que els agents de call center utilitzen diariament per configurar tarifes, finançar terminals i contractar serveis en nom de l'operadora.

‍

Que se sap de la filtracio de Vodafone i Lowi a traves de Be Call BPO?

• Origen: Be Call BPO, l'empresa d'externalitzacio que opera com a col·laborador directe de Vodafone per a la captacio de nous clients de Vodafone i Lowi mitjançant televenda.
• Volum: gairebe un milio de registres, concretament 956.874 segons el full de seguiment.
• Preu de venda: 400 dolars pel paquet complet d'1 GB.
• Prova d'autenticitat publicada: 13 arxius PDF que descriuen l'ecosistema d'eines de front-office i back-office emprat pels agents de Be Call BPO, incloent Smart i RetailX.
• Eines i panells exposats: el panell de BackOffice de Lowi Televenda, l'Offer Configurator, el modul Device Purchases, i les seccions de contractacio de Vodafone TV i DAZN.
• L'element mes critic: l'atacant afirma disposar d'instruccions d'acces a l'aplicacio de client OneWay, configuracions d'escriptori remot i els codis OCM, que podrien seguir actives.
• Dades personals de clients: cap de les mostres publicades conte dades personals de clients fins ara.
• Resposta de Vodafone: l'operadora confirma que esta investigant els fets.

‍

Per que el risc de tercers es el patro que es repeteix al sector de telecomunicacions espanyol

Aquest incident no es la primera vegada que Vodafone veu compromesa la seva cadena de col·laboradors. Al novembre de 2023, un acces no autoritzat a un distribuidor va exposar dades personals i bancaries de clients. L'esquema es repeteix de forma gairebe identica: en tots dos casos, l'origen no son els sistemes centrals de Vodafone, sino els d'un tercer amb acces privilegiat a les seves eines.

1. L'externalitzacio comercial multiplica el nombre de punts d'entrada.
2. La documentacio interna es mes valuosa a llarg termini que les dades de clients. Permet preparar atacs d'enginyeria social molt mes precisos.
3. Les credencials poden seguir actives despres de la filtracio.
4. El patro es repeteix a tot el sector de telecomunicacions espanyol, amb Lemmon i Netllar com a precedents recents.

‍

Com es tradueix aquest tipus de filtracio en risc real per a clients i empreses

• Trucades comercials falses altament creibles.
• Intents de suplantacio davant el propi suport tecnic.
• Acces operatiu persistent si les credencials no es revoquen.
• Preparacio d'atacs dirigits contra la xarxa comercial.

‍

Lliçons clau per a empreses que externalitzen processos comercials o d'atencio al client

• Externalitzar processos comercials no pot significar externalitzar tambe el control de seguretat.
• Les credencials de tercers han de tenir cicles de rotacio i revocacio definits.
• La documentacio operativa interna mereix la mateixa proteccio que les dades de clients.
• Auditar l'acces de tercers amb la mateixa rigorositat que l'acces intern.
• Preparar els equips d'atencio al client davant el risc de suplantacio informada.

‍

La ciberseguretat com a prioritat estrategica

L'incident de Vodafone i Be Call BPO es el tercer cas de filtracio al sector de telecomunicacions espanyol documentat en poques setmanes, despres de Lemmon i Netllar. El patro comu es estructural: la cadena de subministrament de les operadores inclou multiples proveidors externs amb acces operatiu real a sistemes critics.

‍

Apolo Cybersecurity: gestio de risc de tercers i auditoria de proveidors amb acces a sistemes critics

A Apolo Cybersecurity ajudem organitzacions a gestionar el risc de tercers en la seva cadena operativa: auditoria d'accessos concedits a proveidors BPO i col·laboradors externs, disseny de politiques de rotacio i revocacio de credencials de tercers, revisio de la seguretat de la documentacio operativa interna, i formacio d'equips d'atencio al client davant intents de suplantacio informada.

‍