Las brechas de datos reportadas públicamente alcanzaron un máximo histórico en Estados Unidos durante 2025, con más de 3.300 incidentes registrados y cerca de 295 millones de notificaciones enviadas a las víctimas.
Sin embargo, apenas una cuarta parte (24%) incluía detalles sobre el vector de ataque, la proporción más baja registrada por la organización. ESET Latinoamérica, compañía líder en detección proactiva de amenazas, advierte que esta falta de información supone una mala noticia para consumidores, empresas y responsables de formular políticas públicas ya que falta de detalles impide comprender el verdadero nivel de exposición al riesgo o adoptar medidas efectivas para limitar las consecuencias y, posiblemente, evitar que algo similar vuelva a ocurrir.
“Existen muchos motivos por los que una organización afectada por una brecha puede mostrarse reacia, o simplemente no estar en condiciones, de compartir todos los detalles de un incidente. Los equipos de comunicación de crisis pueden querer informar cuanto antes a los clientes una vez que la noticia sale a la luz, para proteger la reputación de la organización y evitar especulaciones perjudiciales. Sin embargo, es posible que todavía no conozcan el panorama completo”, comenta Rodrigo Álvarez, investigador de seguridad informática de ESET Latinoamérica.
La información sobre qué datos fueron comprometidos y de qué manera puede tardar semanas o incluso meses en determinarse, especialmente cuando se trata de grandes volúmenes de información. Además, remarcan desde ESET, una divulgación más amplia pudiera ayudar a otros actores maliciosos, por ejemplo, al revelar el camino utilizado para el ataque o debilidades defensivas, o incluso al propio atacante si sigue presente en la red. Por esto es posible que cierta información se retenga temporalmente. También existen razones de carácter financiero, ya que compartir demasiada información podría afectar el valor de las acciones de una empresa, su reputación o su ventaja competitiva.
Por otro lado, el lenguaje utilizado en estas notificaciones puede resultar confuso. Si el mensaje indica que los datos fueron "accedidos", no necesariamente significa que hayan sido robados o extraídos. Asimismo, que una empresa afirme que no encontró "evidencia de uso indebido" no garantiza que no haya existido. Del mismo modo, si una empresa indica que "podrías haber sido afectado", eso no significa que los datos estén entre los comprometidos, aunque se recomienda actuar con cautela.
Frente a una filtración, los detalles de información que necesitan conocer las víctimas, son:
- Si los datos fueron únicamente accedidos o efectivamente extraídos (aunque lo más prudente es asumir el peor escenario hasta que se confirme lo contrario).
- Qué datos fueron comprometidos, ya que esto determinará las medidas que se deban tomar, como cambiar contraseñas, contactar al banco o reemplazar tarjetas.
- Conocer cuándo ocurrió el incidente y cuánto tiempo duró, ya que esto puede ayudar a identificar actividades sospechosas en las cuentas afectadas.
- Qué recomendaciones específicas está proporcionando la organización afectada.
En cualquier caso, el primer paso debe ser contactar directamente a la organización supuestamente afectada. Contactar a la empresa por sus canales oficiales y verificar la información por cuenta propia, no responder ni hacer clic en case de recibir alguna notificación, ya que podría ser la continuación de una estafa.
Una vez que se confirmen que la notificación es legítima, ESET recomienda solicitar a la organización más detalles si estos no se han proporcionado. Luego, considerar las siguientes medidas, dependiendo del tipo de información comprometida:
- Datos personales como correo electrónico, dirección física, nombre o número de teléfono: mantenerse alerta frente a correos, mensajes o llamadas de phishing posteriores. No hacer clic en enlaces ni compartir información sin verificar previamente la autenticidad del contacto.
- Datos médicos o información de cuentas de clientes: Al obtener información confidencial, es importante prestar atención a intentos de phishing más personalizados.
- Nombres de usuario y contraseñas: cambiar inmediatamente las credenciales de la cuenta afectada y de cualquier otra cuenta donde se haya reutilizado la misma contraseña. Activar la autenticación multifactor (MFA o 2FA) para añadir una capa adicional de protección.
- Datos bancarios o de tarjetas de pago: contactar al banco o proveedor de la tarjeta para informar lo ocurrido. Solicitar el reemplazo de la tarjeta si corresponde y supervisar las cuentas en busca de actividad sospechosa.
- Documentos de identidad emitidos por organismos gubernamentales, como documentos nacionales de identidad, cédulas, pasaportes o licencias de conducir: seguir las recomendaciones de la entidad emisora. Dependiendo del caso, puede ser necesario solicitar un reemplazo o reportar un posible uso indebido.
- Información financiera y de identidad: monitorear las cuentas, comunicarse con las instituciones financieras correspondientes, cambiar las credenciales de acceso si fuera necesario y considerar las herramientas de protección contra el fraude disponibles según el país de residencia.
Muchas organizaciones afectadas por una brecha ofrecen servicios gratuitos de monitoreo crediticio u otras herramientas de protección durante un período determinado. Sin embargo, la disponibilidad de estas soluciones varía según el país. Los servicios de monitoreo crediticio alertan cuando se producen cambios en el historial crediticio o actividad financiera que podrían indicar un intento de fraude o robo de identidad. Además, en algunos países existen mecanismos para restringir temporalmente la apertura de nuevas líneas de crédito o registrar alertas por posible fraude de identidad, aunque su disponibilidad depende de la normativa local.
Si los datos financieros o de identidad quedaron expuestos, desde ESET aconsejan:
- Revisar periódicamente las cuentas bancarias y tarjetas.
- Activar alertas de transacciones cuando estén disponibles.
- Consultar periódicamente el historial crediticio mediante los organismos o burós correspondientes.
- Reportar cualquier actividad fraudulenta a las autoridades o entidades competentes.
“A medida que aumentan las organizaciones con las que compartimos nuestros datos y los atacantes perfeccionan sus técnicas para comprometerlas, las probabilidades de recibir una notificación de brecha de datos seguirán creciendo. Pero eso no significa que deba convertirse en una catástrofe. Mantenerse alerta e informado sigue siendo una de las mejores formas de reducir el riesgo de sufrir fraudes posteriores”, concluye Álvarez de ESET.
