La investigación sobre CCS Nube y PuffPal identificó 1.082.680 registros de socios y 985.841 imágenes de documentos accesibles sin autenticación.
Un grave fallo de seguridad en CCS Nube, la infraestructura utilizada por Cannabis Club Systems para gestionar clubes cannábicos, permitió consultar datos personales asociados a más de un millón de perfiles. Entre la información potencialmente accesible había nombres, direcciones, teléfonos, fechas de nacimiento, nacionalidades, números de pasaporte, hábitos de consumo y preferencias de variedades de cannabis.
El investigador de seguridad Sammy Azdoufal contabilizó 1.082.680 perfiles de miembros y 985.841 imágenes de documentos identificativos alojadas en rutas públicas. Los registros procedían, según su informe técnico, de 377 clubes repartidos por más de 40 países, aunque la mayor concentración de establecimientos y usuarios se encontraba en España. La cifra representa entradas de la base de datos, no un recuento auditado de personas únicas.
La formulación más precisa es que los datos quedaron expuestos. El investigador y The Verge comprobaron que determinados documentos podían abrirse desde direcciones web públicas, pero no se ha demostrado que un grupo criminal descargara, vendiera o difundiera masivamente la información. Cannabis Club Systems rechaza que pueda hablarse de una filtración confirmada y asegura que su investigación no ha encontrado pruebas verificadas de extracción o distribución por terceros.
Cómo se descubrió la exposición
Azdoufal comenzó la investigación después de inscribirse en un club social de cannabis de Barcelona. Durante el registro, el establecimiento recopiló sus datos personales y fotografió su pasaporte. Posteriormente, el investigador descargó PuffPal, una aplicación opcional que algunos clubes ofrecían para identificarse mediante un código QR, realizar pedidos o comunicarse con el establecimiento.
Al analizar el código de la aplicación, encontró una clave secreta de Stripe incorporada directamente en el archivo instalable. Sin embargo, el problema principal no estaba en PuffPal, sino en el sistema de servidores al que se conectaba: CCS Nube.
El sistema presentaba una vulnerabilidad de control de acceso conocida como IDOR, siglas en inglés de referencia directa insegura a objetos. En términos sencillos, la plataforma utilizaba números consecutivos para identificar a los miembros, pero no comprobaba correctamente si quien solicitaba un perfil tenía permiso para verlo.
Según el informe técnico, bastaba con modificar ese número para obtener la ficha de otro socio. La petición no requería token de autenticación, sesión iniciada, clave de API ni otro mecanismo que acreditara la identidad del solicitante. El listado de clubes también podía enumerarse, lo que habría permitido automatizar la consulta de registros.
El segundo problema afectaba a las imágenes de los documentos. Las fotografías de pasaportes, documentos nacionales de identidad y carnés de conducir se almacenaban en rutas predecibles del servidor. Los archivos no exigían contraseña, autorización ni enlaces temporales: quien conociera la estructura de la dirección podía solicitar directamente la imagen. The Verge comprobó de forma independiente que algunos de esos enlaces abrían documentos reales.
Qué información podía consultarse
El recuento publicado por Azdoufal atribuye a la plataforma 1.082.680 perfiles de miembros, 985.841 imágenes de documentos de identidad, 923.543 perfiles con número de pasaporte o documento nacional, 1.077.294 registros con una cantidad mensual de consumo y más de 434.000 perfiles con preferencias de variedades de cannabis.
También aparecían 405.857 números de teléfono, 196.132 direcciones particulares y 9.030 mensajes privados que podían consultarse desde cuentas ajenas a la conversación. No todos los perfiles contenían necesariamente todos esos campos. Sin embargo, la combinación de una identidad verificada, una fotografía oficial, datos de contacto y hábitos de consumo aumenta considerablemente el riesgo para las personas afectadas.
La base tenía alcance internacional. El investigador contabilizó 212.697 registros asociados a ciudadanos españoles, 130.623 a italianos, 104.865 a franceses, 89.389 a sudafricanos, 50.113 a británicos y 30.538 a estadounidenses, entre otras nacionalidades. Estas cifras corresponden al análisis del investigador y no han sido certificadas mediante una auditoría externa.
El problema no afectaba solamente a los usuarios de PuffPal
Uno de los puntos esenciales de la investigación es que no era necesario haber instalado PuffPal para estar incluido en el sistema vulnerable. La aplicación fue la puerta de entrada utilizada por Azdoufal para analizar la infraestructura, pero los datos se almacenaban en CCS Nube. Los clubes también podían registrar a sus socios desde un terminal de recepción, un formulario web o el panel administrativo.
Por tanto, el universo potencialmente afectado no se limita a quienes crearon una cuenta en la aplicación. Incluye a personas que entregaron sus datos directamente en clubes que utilizaban el sistema de Cannabis Club Systems, una cuestión especialmente relevante para el ecosistema de asociaciones cannábicas y para la cobertura de noticias cannábicas en España.
Una respuesta lenta y varias correcciones parciales
El investigador sostiene que comenzó a avisar a la empresa a finales de abril de 2026 y que no obtuvo una respuesta efectiva durante varias semanas. Según la cronología publicada por The Verge, Cannabis Club Systems contestó después de que el medio enviara una segunda petición de información a mediados de mayo.
La empresa ofreció otra explicación a MyBroadband: afirmó que las primeras comunicaciones no incluían información técnica suficiente para validar las vulnerabilidades y que inició una investigación interna cuando recibió el informe completo.
La gestión inicial tampoco cerró de inmediato todos los accesos. The Verge informó de que las imágenes fueron protegidas temporalmente, pero volvieron a quedar disponibles cuando algunos clubes comunicaron que el cambio interfería con su operativa. El 9 de junio, pese a que las fotografías ya utilizaban nuevos controles, determinados perfiles seguían devolviendo números de documento, teléfonos, correos electrónicos y direcciones.
El 10 de junio, Azdoufal volvió a probar la infraestructura. En ese momento pudo confirmar que las rutas públicas de los documentos devolvían un error de acceso. El resto de los componentes no pudo verificarse por completo porque PuffPal y algunos servicios mostraban una página de mantenimiento.
Un día después, Cannabis Club Systems aseguró que había corregido las vulnerabilidades notificadas, bloqueado los puntos de acceso identificados y suspendido temporalmente PuffPal y sus servicios asociados. La compañía también anunció una revisión más amplia de sus sistemas y afirmó haber informado a la Comisión de Protección de Datos de Irlanda.
¿Exposición pública o filtración de datos?
La empresa insiste en diferenciar tres situaciones: la existencia de una vulnerabilidad, la posibilidad técnica de consultar información y la confirmación de que alguien extrajo o distribuyó los datos.
Esa distinción es relevante. Hasta ahora no se ha presentado evidencia pública de que una organización criminal descargara la base completa o comercializara los documentos. Sin embargo, la ausencia de una extracción confirmada no elimina el incidente: el investigador y un periodista pudieron acceder a documentos reales sin disponer de autorización, lo que demuestra que los controles de confidencialidad eran insuficientes.
La empresa mantiene abierta su investigación sobre posibles accesos históricos. Determinar quién consultó los archivos antes de su cierre dependerá de la existencia, conservación y calidad de los registros técnicos del servidor.
Las posibles obligaciones bajo el RGPD
El criterio de la Agencia Española de Protección de Datos sobre brechas de seguridad recuerda que el parámetro central es el riesgo para los derechos y libertades de las personas afectadas. Cuando una brecha pueda implicar ese riesgo, el responsable debe notificarla a la autoridad competente sin dilación indebida y, como máximo, en 72 horas desde que tenga constancia del incidente.
La exposición combinaba documentos oficiales, datos de contacto e información sobre la pertenencia a clubes cannábicos. Algunos perfiles también incorporaban una clasificación vinculada al uso medicinal. Cuando un registro revela información relativa a la salud, puede entrar en las categorías de datos que reciben una protección reforzada bajo el RGPD.
La valoración definitiva y cualquier posible sanción corresponderán a las autoridades de protección de datos, no al investigador ni a la empresa. En cualquier caso, la externalización del software tampoco libera automáticamente a los clubes de sus obligaciones. El artículo 28 del RGPD exige recurrir a encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas adecuadas.
Por qué estos datos son especialmente delicados
Una copia de un pasaporte o DNI puede facilitar intentos de suplantación de identidad, apertura fraudulenta de cuentas, contratación de servicios o campañas de ingeniería social. Al combinarse con un teléfono, una dirección y un correo electrónico, el documento permite construir mensajes fraudulentos mucho más convincentes.
La pertenencia a un club cannábico añade otro riesgo. Esa información podría utilizarse para extorsionar, discriminar o perjudicar profesionalmente a una persona. Para visitantes procedentes de países con legislaciones más restrictivas sobre el cannabis, la exposición puede tener además consecuencias migratorias, familiares o legales.
No existe constancia pública de que estos perjuicios se hayan materializado. Son riesgos razonablemente derivados del tipo y del volumen de información accesible, no daños confirmados.
Qué pueden hacer los socios de clubes cannábicos
Las personas que hayan entregado su documento a un club pueden preguntar por escrito si la entidad utilizaba CCS Nube, Cannabis Club Systems o PuffPal y si su ficha estaba incluida en la plataforma afectada. También pueden ejercer el derecho de acceso para obtener una copia de los datos tratados, conocer sus finalidades, destinatarios, plazo de conservación y posibles comunicaciones.
La AEPD resume en su página de ejercicio de derechos las vías para solicitar acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y oposición a decisiones individualizadas. En este caso, la supresión de fotografías o datos que ya no resulten necesarios puede ser una petición relevante, aunque deberá valorarse según las condiciones legales aplicables.
También conviene conservar las comunicaciones y acudir a la AEPD si el club no responde dentro del plazo establecido o si la respuesta resulta insuficiente. La Agencia recomienda dirigirse primero a la entidad responsable por un medio que permita acreditar la solicitud.
Además, resulta prudente extremar la precaución ante correos, llamadas o mensajes que mencionen el nombre del club, datos de afiliación o preferencias de consumo. Ese nivel de detalle puede utilizarse para dotar de credibilidad a una campaña de fraude.
Una advertencia para toda la industria cannábica
El incidente no cuestiona únicamente el desarrollo de una aplicación. Pone en duda una práctica más amplia: recopilar documentos de alta sensibilidad, conservarlos durante periodos prolongados y centralizarlos sin controles proporcionales al daño que podría causar su exposición.
Una plataforma que gestiona identidades debe separar los archivos de los directorios públicos, verificar los permisos en cada solicitud, utilizar enlaces temporales, limitar las consultas automatizadas, proteger los secretos de las aplicaciones y registrar accesos anómalos. También debe preguntarse si realmente necesita conservar una copia completa del documento una vez verificada la identidad.
Para clubes y entidades que gestionan actividad cannábica, el caso apunta a una revisión urgente de proveedores, contratos, retención de documentos y controles técnicos. Esa revisión debe convivir con las obligaciones operativas del sector, desde la trazabilidad hasta la gestión interna que también se aborda en recursos especializados como El Cultivador.
La seguridad no comienza cuando un investigador encuentra una vulnerabilidad. Empieza antes, reduciendo la información recopilada y diseñando el sistema para que ningún error aislado permita consultar la identidad y los hábitos privados de cientos de miles de personas.
Acerca del autor
Raúl del Pino es un destacado psiconauta, escritor y autoridad en sustancias psicoactivas, especialmente psicodélicos.
En 1996 impulsó, el primer portal en lengua hispana sobre drogas, se ha enfocado en los Estados Modificados de Conciencia y la Psicología Transpersonal. Autor de los libros "Guía contemporánea para el viaje psicodélico" y "MDMA, sexo y tantra", Raúl combina rigor científico con introspección personal, explorando la relación entre psicoactivos, sexualidad y prácticas espirituales. Su trabajo contribuye significativamente a la comprensión y uso responsable de sustancias psicoactivas.
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
- Raúl del Pinohttps://www.cannabismagazine.net/autor/raul-del-pino/
Sigue la cobertura
Más contexto sobre esta noticia
Amplía el contexto con cobertura relacionada sobre Cannabis, Regulación y Negocios en los hubs temáticos y geográficos de Cannabis Magazine.
