Subject: RE: s#2026003671# 541731 NUEVO SINIESTRO CYBER COAM
From: Santiago Romero <[email-masked]>
To: Armando Haro Corchero <[email-masked]>
Cc: Francisco González <[email-masked]>, Jorge Gumier <[email-masked]>, Mariana Restrepo Casasbuenas <[email-masked]>
Date: Fri, 12 Jun 2026 12:09:20 +0000

Buenas,

De acuerdo, el lunes si le parece comentamos lo que le trasladen.

Saludos.

Santiago Romero
Claims Handler

Teléfono:           +34 954 286 216  (Opc. 2 )
Directo:              +34 955 25 54 47
Email:                 [email-masked]

[[email-masked]]
BMS Mediación Iberia Correduría de Seguros y Reaseguros, S.L.U.
Avenida de la Palmera 29, 41013 - Sevilla
T: +34 954 286 216  www.bmsgroup.com<http://www.bmsgroup.com/>

<https://twitter.com/BMSGROUP>
@bmsgroup<https://twitter.com/BMSGROUP>
[signature_2396587455]<http://uk.linkedin.com/company/bms-group>
Join us on<http://uk.linkedin.com/company/bms-group>

De: Armando Haro Corchero <[email-masked]>
Enviado el: viernes, 12 de junio de 2026 14:00
Para: Santiago Romero <[email-masked]>
CC: Francisco González <[email-masked]>; Jorge Gumier <[email-masked]>; Mariana Restrepo Casasbuenas <[email-masked]>
Asunto: Re: s#2026003671# 541731 NUEVO SINIESTRO CYBER COAM

Email originated externally.

________________________________
Buenas Santiago

Estamos hablando en una reunión con personal del seguro de Telefónica ciberseguridad y con el despacho de abogados del seguro.

Enviado desde Outlook para iOS<https://url.uk.m.mimecastprotect.com/s/TBL5CG5O4SVqJPDUKfDcBJMn6?domain=aka.ms>
________________________________
De: Santiago Romero <[email-masked]<mailto:[email-masked]>>
Enviado: Friday, June 12, 2026 1:57:32 PM
Para: Armando Haro Corchero <[email-masked]<mailto:[email-masked]>>
Cc: Francisco González <[email-masked]<mailto:[email-masked]>>; Jorge Gumier <[email-masked]<mailto:[email-masked]>>; Mariana Restrepo Casasbuenas <[email-masked]<mailto:[email-masked]>>
Asunto: s#2026003671# 541731 NUEVO SINIESTRO CYBER COAM

Hola Armando,

Le he llamado pero no he conseguido contactar con Vd. con el fin comentar el incidente

Adjunto reporte tras el contacto por su parte.

Muchísimas gracias.

Saludos.

Santiago Romero

Claims Handler

Teléfono:           +34 954 286 216  (Opc. 2 )

Directo:              +34 955 25 54 47

Email:                 [email-masked]<mailto:[email-masked]>

[[email-masked]]

BMS Mediación Iberia Correduría de Seguros y Reaseguros, S.L.U.

Avenida de la Palmera 29, 41013 - Sevilla

T: +34 954 286 216  www.bmsgroup.com<https://url.uk.m.mimecastprotect.com/s/WagrCKZj4Tj9qYXC3iXc5pb3V?domain=bmsgroup.com/>

<https://url.uk.m.mimecastprotect.com/s/d6S7CL8k4sJXPgGCmsjcyKIwF?domain=twitter.com>

@bmsgroup<https://url.uk.m.mimecastprotect.com/s/d6S7CL8k4sJXPgGCmsjcyKIwF?domain=twitter.com>

[signature_2396587455]<https://url.uk.m.mimecastprotect.com/s/4-IwCMQl4UQ95LwcQtpc8KBu6?domain=uk.linkedin.com>

Join us on<https://url.uk.m.mimecastprotect.com/s/4-IwCMQl4UQ95LwcQtpc8KBu6?domain=uk.linkedin.com>

De: Santiago Romero
Enviado el: jueves, 11 de junio de 2026 17:32
Para: [email-masked]' <[email-masked]<mailto:[email-masked]>>
CC: Francisco González <[email-masked]<mailto:[email-masked]>>; Jorge Gumier <[email-masked]<mailto:[email-masked]>>; Mariana Restrepo Casasbuenas <[email-masked]<mailto:[email-masked]>>
Asunto: RE: NUEVO SINIESTRO CYBER COAM
Importancia: Alta

Buenas tardes Armando,

En relación al incidente que nos traslada, informarle para tener una rápida respuesta es aconsejable siempre que el cliente contacto directamente con la línea de primera respuesta antes incidentes ya que realizan pregustan concretas para un primer diagnóstico sobre lo sucedido

Facilito telf que figura en póliza:

Por favor cuando realicen contacto ruego nos reporten ref. de expediente y conclusiones con el fin realizar seguimiento.

Ruego por favor también nos facilite un telf de contacto vuestro.

Muchísimas gracias.

Saludos.

Santiago Romero

Claims Handler

Teléfono:           +34 954 286 216  (Opc. 2 )

Directo:              +34 955 25 54 47

Email:                 [email-masked]<mailto:[email-masked]>

[[email-masked]]

BMS Mediación Iberia Correduría de Seguros y Reaseguros, S.L.U.

Avenida de la Palmera 29, 41013 - Sevilla

T: +34 954 286 216  www.bmsgroup.com<https://url.uk.m.mimecastprotect.com/s/WagrCKZj4Tj9qYXC3iXc5pb3V?domain=bmsgroup.com/>

<https://url.uk.m.mimecastprotect.com/s/d6S7CL8k4sJXPgGCmsjcyKIwF?domain=twitter.com>

@bmsgroup<https://url.uk.m.mimecastprotect.com/s/d6S7CL8k4sJXPgGCmsjcyKIwF?domain=twitter.com>

[signature_2396587455]<https://url.uk.m.mimecastprotect.com/s/4-IwCMQl4UQ95LwcQtpc8KBu6?domain=uk.linkedin.com>

Join us on<https://url.uk.m.mimecastprotect.com/s/4-IwCMQl4UQ95LwcQtpc8KBu6?domain=uk.linkedin.com>

De: Armando Haro Corchero <[email-masked]<mailto:[email-masked]>>
Enviado el: jueves, 11 de junio de 2026 14:46
Para: Mariana Restrepo Casasbuenas <[email-masked]<mailto:[email-masked]>>; Pablo Arauzo Porrero <[email-masked]<mailto:[email-masked]>>
Asunto: Incidente de ciberseguridad

Email originated externally.

________________________________

Buenos días

Os notifico formalmente un incidente de ciberseguridad confirmado en la infraestructura web del COAM, y solicito la activación de la póliza de ciberseguridad y la intervención de su servicio forense.

- El servidor que aloja el portal corporativo (www.coam.org<https://url.uk.m.mimecastprotect.com/s/wGgXCOyn4c6wAg7cACJcGQ_g9?domain=coam.org>) fue comprometido mediante la carga de ficheros maliciosos (webshells PHP) a través del formulario de foto de perfil del área privada de colegiados. Esto otorgó al atacante capacidad de ejecución de código en el servidor.

- El compromiso se remonta a mayo de 2025 y ha permanecido sin detectar durante más de trece meses. Lo detectamos el 11/06/2026.

- Hay constancia de actividad interactiva del atacante y de, al menos, un envío de exfiltración completado con éxito. El backdoor instalado dispone de función de descarga de ficheros.

El punto crítico es que desconocemos el alcance real del acceso y qué información ha podido extraerse. La plataforma afectada trata datos personales de más de 12.000 colegiados, por lo que no podemos descartar una brecha de datos personales. Esclarecer con rigor qué hizo el atacante y qué datos pudo sacar exige un análisis forense profesional, que es el objeto de esta solicitud.

Desde la dirección de sistemas hemos detectado el incidente, realizado un análisis preliminar, preservado evidencias y aplicado medidas iniciales de contención. Hemos puesto en pausa las actuaciones de remediación de mayor calado para no comprometer ni la investigación ni la cobertura de la póliza.

Solicitamos:

1. Activación de la póliza de ciberseguridad y puesta en marcha del servicio de respuesta a incidentes / forense del asegurador.

2. Indicación de los pasos que debemos seguir o evitar para no perjudicar la cobertura (por ejemplo, antes de contratar cualquier proveedor externo).

3. Coordinación con Dirección Legal sobre los plazos regulatorios: posible notificación a la AEPD (72 horas desde el conocimiento, esto es, desde el 11/06/2026) y, por nuestra condición de sujeto al ENS, valoración de la notificación a CCN-CERT.

Dada la naturaleza del incidente, el asunto es urgente. Quedo a vuestra disposición para una llamada hoy mismo y para facilitar cuanta información requiera el equipo forense.

Un saludo,

Armando Haro

Director Sistemas de Informacion
Colegio Oficial de Arquitectos de Madrid
web:www.coam.es<https://url.uk.m.mimecastprotect.com/s/H7tSCPZo4T7Z42jFZF1cxfv6C?domain=coam.es/>
mail:[email-masked]<mailto:[email-masked]>g

Hortaleza 63
28004 Madrid

Este mensaje se dirige exclusivamente a su destinatario. Contiene información CONFIDENCIAL sometida a secreto profesional o cuya divulgación está prohibida por la ley. Si ha recibido este mensaje por error, debe saber que su lectura, copia y uso están prohibidos. Le rogamos que nos lo comunique inmediatamente por esta misma vía o por teléfono 915 951 500, extensión 1102 y proceda a su destrucción. El correo electrónico vía Internet no permite asegurar la confidencialidad de los mensajes que se transmiten ni su integridad o correcta recepción. COLEGIO OFICIAL DE ARQUITECTOS DE MADRID asume responsabilidad por estas circunstancias. Si el destinatario de este mensaje no consintiera la utilización del correo electrónico vía Internet y la grabación de los mensajes, rogamos lo ponga en nuestro conocimiento de forma inmediata. En cumplimiento del Reglamento General de Protección de Datos (Reglamento UE 2016/679) y normativa vigente en la materia, le informamos que su dirección de correo electrónico, sus datos personales y de empresa serán tratados por COLEGIO OFICIAL DE ARQUITECTOS DE MADRID, con la finalidad de mantener la relación colegial, contractual o comercial con Ud., y que no serán comunicados a terceros. Usted puede ejercitar los derechos de acceso, rectificación, supresión, oposición y limitación al tratamiento. Para más información puede consultar nuestra política de privacidad: http://www.coam.org/es/politica-privacidad<https://url.uk.m.mimecastprotect.com/s/_66aCQ0p4s596K2FGHocGAiqk?domain=coam.org>. Si desea ejercitar sus derechos, le rogamos nos lo comunique a la siguiente dirección: [email-masked]<mailto:[email-masked]>, o por correo postal a: Hortaleza 63. Madrid 28004.

Este correo electrónico, así como sus adjuntos, es confidencial y puede contener información sujeta a copyright o legalmente confidencial. Puede ser leído, copiado y utilizado tan solo por el destinatario de este. Si usted lo ha recibido por error queda informado por la presente de que cualquier difusión, distribución o copia está estrictamente prohibida. Si ha recibido este correo por error por favor notifíquelo al remitente inmediatamente y destruya el mensaje con todas sus copias y adjuntos. La seguridad y fiabilidad del correo electrónico no está asegurada. Adicionalmente, no se aceptará responsabilidad de ningún tipo por posibles virus y es su responsabilidad escanear cualquier archivo adjunto. Le informamos que por motivos empresariales lo correos electrónicos, tanto recibidos como enviados, son monitoreados y archivados.

BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. es el responsable del tratamiento de sus datos de carácter personal. Puede ponerse en contacto con nosotros en nuestra dirección postal así como a través de nuestro Responsable de Protección de datos en la dirección de correo electrónico: [email-masked]<mailto:[email-masked]>. También puede usar esta dirección de correo electrónico para ejercitar cualquiera de sus derechos reconocidos en la legislación sobre protección de datos. Trataremos sus datos de carácter personal de conformidad con la normativa de aplicación y conforme a nuestra política de protección de datos. Puede consultar la información adicional y detallada sobre nuestra Política de Protección de Datos solicitando que le facilitemos una copia de la misma en la dirección de correo [email-masked]<mailto:[email-masked]>. Trataremos sus datos de carácter personal con la finalidad de remitirle la información solicitada por Usted así como para incluirlos en nuestras bases de datos al objeto de gestionar la suscripción de potenciales contratos de seguro objeto de la información solicitada. Puede oponerse a este tratamiento de sus datos con fines comerciales en cualquier momento comunicándonoslo a través del correo electrónico [email-masked]<mailto:[email-masked]>. No transferiremos sus datos personales a terceros a menos que la ley nos lo exija expresamente o lo necesitemos para poder proveerle nuestros servicios. Podríamos trasferir sus datos personales a países fuera de la EEA como, específicamente, Reino Unido donde la legislación sobre protección de datos podría no ofrecer el mismo nivel de protección. No obstante, sus datos personales serán adecuadamente protegidos por cláusulas contractuales aprobadas por la Comisión Europea y normas corporativas apropiadas.

Así mismo, le comunicamos que para atender y resolver las quejas y reclamaciones, BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. dispone de un Servicio de Atención al Cliente externalizado en INADE, Instituto Atlántico del Seguro, S.L., con domicilio C/La Paz 2, Bajo 36202 - Vigo (PONTEVEDRA) y correo electrónico [email-masked]<mailto:[email-masked]>. Dicho Servicio tiene la obligación de resolver dichas quejas o reclamaciones en el plazo máximo de un mes en caso de que usted tenga la consideración de "consumidor" y de dos meses en el resto de supuestos. Si dicha resolución no fuera del agrado del Cliente, podrá dirigirse al Servicio de Reclamaciones de la Dirección General de Seguros y Fondos de Pensiones, siendo imprescindible para ello acreditar haber formulado la queja o reclamación, por escrito, ante el Servicio de Atención al Cliente de la Correduría.

BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U., con domicilio social en Paseo de la Castellana 28, Entreplanta, 28046 Madrid, España, con CIF B-88053186 está inscrita en el Registro de Mediadores de Seguros y Reaseguros de la Dirección General de Seguros y Fondos de Pensiones con las claves nº J-3606 para seguro directo y RJ-0081 para reaseguro. Dicho Registro es público y puede consultarse en la página web www.dgsfp.mineco.es<https://url.uk.m.mimecastprotect.com/s/1cVSCVPx6uDXlEWhxS1cEvRya?domain=dgsfp.mineco.es>. Asimismo, se encuentra inscrita en el Registro Mercantil de Madrid, Tomo 37588, Folio 82, Hoja M-669943. BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. tiene concertado un Seguro de Responsabilidad Civil y la Capacidad Financiera legalmente establecida en el Real Decreto-ley 3/2020, de 4 de febrero.

BMS Group Ltd is authorised and regulated by the Financial Conduct Authority (No.309686). Registered in England at One America Square, London, EC3N 2LS (No. 1479949). Accredited Lloyd's Broker. For information about how BMS Group Limited may process your personal information in connection with its insurance related activities please read the Insurance Market Data Handling section, available at http://www.bmsgroup.com/data-privacy<https://url.uk.m.mimecastprotect.com/s/WC1zCW7y4uAxjQMFzTLcoYSr7?domain=bmsgroup.com> Q Please consider the environment before printing this e-mail.
This email and any attachment is confidential and may contain copyright and/or legally privileged information. It may be read, copied and used only by the intended recipient. If you are not the intended recipient, you are hereby notified that any dissemination, distribution or copying of this communication is strictly prohibited. If you received this e-mail by accident, please notify the sender immediately and destroy this e-mail, any attachment and all copies. Security and reliability of e-mail is not guaranteed. In addition, no liability or responsibility is accepted for viruses and it is your responsibility to scan any attachments. Please note that for business purposes, outgoing and incoming emails from and to the company are monitored and recorded.

BMS Group Ltd is authorised and regulated by the Financial Conduct Authority (No. 309686)Registered in England at One America Square, London, EC3N 2LS (No. 1479949) Accredited Lloyd's Broker.

BMS Mediacion Iberia Correduria de Seguros y Reaseguros, S.L.U. [BMS Iberia] is authorised by the Direccion General de Seguros y Fondos de Pensiones (DGS), registration number B88053186. BMS Iberia's UK branch (BMS Mediacion Iberia Correduria de Seguros y Reaseguros, S.L.U. UK branch) of One America Square, London EC3N 2LS is Authorised and Regulated by the Financial Conduct Authority, FRN 979196. Registered in England at One America Square, London, EC3N 2LS (No. FC035750) Accredited Lloyd's Broker

BankServe, BankServe Insurance Services, BMS Fac, BMS Global Risks, BMS Harris & Dixon Marine, BMS Re, and BMS Energy are trading names of BMS Group Ltd and BMS Mediacion Iberia, Correduria De Seguros Y Reaseguros S.L.U. UK Branch.

For information about how BMS may process your personal information in connection with its insurance related activities please read the Insurance Market Data Handling section, available at http://www.bmsgroup.com/data-privacy<https://url.uk.m.mimecastprotect.com/s/WC1zCW7y4uAxjQMFzTLcoYSr7?domain=bmsgroup.com>
For more information about the BMS Group please visit www.bmsgroup.com<https://url.uk.m.mimecastprotect.com/s/WagrCKZj4Tj9qYXC3iXc5pb3V?domain=bmsgroup.com/>

P Please consider the environment before printing this e-mail.

Este correo electrónico, así como sus adjuntos, es confidencial y puede contener información sujeta a copyright o legalmente confidencial. Puede ser leído, copiado y utilizado tan solo por el destinatario de este. Si usted lo ha recibido por error queda informado por la presente de que cualquier difusión, distribución o copia está estrictamente prohibida. Si ha recibido este correo por error por favor notifíquelo al remitente inmediatamente y destruya el mensaje con todas sus copias y adjuntos. La seguridad y fiabilidad del correo electrónico no está asegurada. Adicionalmente, no se aceptará responsabilidad de ningún tipo por posibles virus y es su responsabilidad escanear cualquier archivo adjunto. Le informamos que por motivos empresariales lo correos electrónicos, tanto recibidos como enviados, son monitoreados y archivados.

BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. es el responsable del tratamiento de sus datos de carácter personal. Puede ponerse en contacto con nosotros en nuestra dirección postal así como a través de nuestro Responsable de Protección de datos en la dirección de correo electrónico: [email-masked]. También puede usar esta dirección de correo electrónico para ejercitar cualquiera de sus derechos reconocidos en la legislación sobre protección de datos. Trataremos sus datos de carácter personal de conformidad con la normativa de aplicación y conforme a nuestra política de protección de datos. Puede consultar la información adicional y detallada sobre nuestra Política de Protección de Datos solicitando que le facilitemos una copia de la misma en la dirección de correo [email-masked]. Trataremos sus datos de carácter personal con la finalidad de remitirle la información solicitada por Usted así como para incluirlos en nuestras bases de datos al objeto de gestionar la suscripción de potenciales contratos de seguro objeto de la información solicitada. Puede oponerse a este tratamiento de sus datos con fines comerciales en cualquier momento comunicándonoslo a través del correo electrónico [email-masked]. No transferiremos sus datos personales a terceros a menos que la ley nos lo exija expresamente o lo necesitemos para poder proveerle nuestros servicios. Podríamos trasferir sus datos personales a países fuera de la EEA como, específicamente, Reino Unido donde la legislación sobre protección de datos podría no ofrecer el mismo nivel de protección. No obstante, sus datos personales serán adecuadamente protegidos por cláusulas contractuales aprobadas por la Comisión Europea y normas corporativas apropiadas.

Así mismo, le comunicamos que para atender y resolver las quejas y reclamaciones, BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. dispone de un Servicio de Atención al Cliente externalizado en INADE, Instituto Atlántico del Seguro, S.L., con domicilio C/La Paz 2, Bajo 36202 - Vigo (PONTEVEDRA) y correo electrónico [email-masked]. Dicho Servicio tiene la obligación de resolver dichas quejas o reclamaciones en el plazo máximo de un mes en caso de que usted tenga la consideración de "consumidor" y de dos meses en el resto de supuestos. Si dicha resolución no fuera del agrado del Cliente, podrá dirigirse al Servicio de Reclamaciones de la Dirección General de Seguros y Fondos de Pensiones, siendo imprescindible para ello acreditar haber formulado la queja o reclamación, por escrito, ante el Servicio de Atención al Cliente de la Correduría.

BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U., con domicilio social en Paseo de la Castellana 28, Entreplanta, 28046 Madrid, España, con CIF B-88053186 está inscrita en el Registro de Mediadores de Seguros y Reaseguros de la Dirección General de Seguros y Fondos de Pensiones con las claves nº J-3606 para seguro directo y RJ-0081 para reaseguro. Dicho Registro es público y puede consultarse en la página web www.dgsfp.mineco.es. Asimismo, se encuentra inscrita en el Registro Mercantil de Madrid, Tomo 37588, Folio 82, Hoja M-669943. BMS Mediación Iberia Correduría de Seguros y Reaseguros S.L.U. tiene concertado un Seguro de Responsabilidad Civil y la Capacidad Financiera legalmente establecida en el Real Decreto-ley 3/2020, de 4 de febrero.

BMS Group Ltd is authorised and regulated by the Financial Conduct Authority (No.309686). Registered in England at One America Square, London, EC3N 2LS (No. 1479949). Accredited Lloyd's Broker. For information about how BMS Group Limited may process your personal information in connection with its insurance related activities please read the Insurance Market Data Handling section, available at http://www.bmsgroup.com/data-privacy Q Please consider the environment before printing this e-mail.