Am 8. April 2021 wurde The Phone House Spain Opfer einer Ransomware-Attacke durch die Babuk-Gruppe. Dabei wurden personenbezogene Daten von mehr als 13 Mio. Menschen abgegriffen. Davon wurden daraufhin von 5,2 Mio. der Betroffenen die Daten im Darknet veröffentlicht. Betroffen waren neben E-Mail-Adressen auch Namen, Geschlechtsidentität, Geburtsdaten, Nationalität, Anschriften und Telefonnummern.
Am 4. November 2024 erließ die spanische Datenschutzaufsichtsbehörde ein Bußgeld in Höhe von 6,5 Mio. EUR gegen TPHS.