¿Qué es una fuga de datos?

En primer lugar, ¿qué es una filtración de datos? En resumen, se trata de un incidente de seguridad por el que personas no autorizadas acceden a información privada. Las personas pueden robar dicha información, transferirla de forma accidental o regalarla voluntariamente. La fuga de datos puede ser digital (archivos electrónicos) o física (documentos, cartas, imágenes, dispositivos). Sin embargo, las filtraciones de datos no son lo mismo que las violaciones de datos.

Violación de datos vs. filtración de datos: ¿cuál es la diferencia?

Aunque a veces estos términos se utilicen indistintamente, no son del todo sinónimos. Ambos conllevan la misma consecuencia: la exposición no autorizada de datos. La diferencia radica en la causa.

Las filtraciones de datos suelen producirse debido a medidas de seguridad deficientes o a acciones accidentales. En la mayoría de los casos, las filtraciones cibernéticas no son malintencionadas y se deben a un error humano. Los investigadores de seguridad de vpnMentor llevan años analizando bases de datos abiertas. Uno de sus hallazgos más importantes se produjo en 2020, cuando descubrieron que la aplicación Key Ring había utilizado un espacio del servicio de almacenamiento Amazon S3 mal configurado para almacenar 44 millones de registros, incluidos los DNI, la información del seguro, los permisos de conducir y las tarjetas de crédito de las personas. Aunque ningún actor malicioso se diera cuenta y la empresa se encargara de cerrar la base de datos, sigue contando como una filtración de datos.

Por otro lado, las violaciones de datos son deliberadas. Una violación de datos se produce cuando un ciberdelincuente ataca una empresa o una base de datos y consigue obtener información secreta y sensible. Entre las tácticas habituales durante las violaciones de datos, se incluyen los ataques DDoS, el malware y la ingeniería social que pueden superar las defensas de la empresa. Los resultados de las filtraciones y las violaciones de datos son similares, pero las filtraciones carecen de la intención maliciosa de las violaciones.

Tipos de filtraciones de datos

Si quieres detectar rápidamente las fugas de datos, debes reconocer los distintos incidentes y estrategias que pueden causarlas.

• Error humano

  Una fuga involuntaria puede estar causada por algo tan nimio como el envío de un correo electrónico confidencial a la dirección equivocada. Dejar accesible al público una base de datos con los datos de sus clientes o perder un dispositivo con acceso a dicha información también se consideran filtraciones accidentales de datos. Sin embargo, las consecuencias dependen de quién haya recibido el correo electrónico o haya encontrado la brecha para acceder a la base de datos. Algunas personas podrían borrarlo, pero otras podrían tener ideas menos honestas.

• Estafas y violaciones del sistema

  A veces, las personas buscan puntos débiles en tu seguridad, como un software obsoleto o fallos del sistema, para demostrar que existen. No te atacarán abiertamente. En su lugar, buscan brechas para acceder a información que se supone que no es accesible desde el exterior. Otras personas pueden emplear tácticas de ingeniería social para crear el entorno perfecto para una filtración de datos.

• Fuga de datos intencionada

  Aunque las filtraciones de datos no suelen ser malintencionadas, pueden haberse provocado deliberadamente. Puede que un empleado acceda a los secretos de la empresa o a los registros de los usuarios para revenderlos con fines lucrativos. También puede tratarse de un denunciante con objeciones morales a lo que presencia en su empresa, que utiliza la información filtrada para exponerla. En cualquier caso, saben lo que hacen y normalmente intentan permanecer en el anonimato, ya que trabajan desde dentro.

¿Qué tipo de datos corren peligro?

Las filtraciones de datos suponen un desastre para las víctimas, pero una oportunidad de oro para los ciberdelincuentes, que suelen buscar información sensible para obtener un gran beneficio. Buscan información identificable como nombres, direcciones, números de la Seguridad Social y detalles de tarjetas de crédito. Estos datos pueden ser usados para robos de identidad y blanqueo de dinero. Las credenciales de inicio de sesión robadas suelen empaquetarse en bases de datos de filtraciones de contraseñas y venderse en la web oscura.

Cuando los actores maliciosos buscan perjudicar a una empresa concreta, la información que persiguen puede ir más allá de datos de identificación personal. Por ejemplo, pueden tener como objetivo información sensible de la empresa, como comunicaciones internas o planes estratégicos. Los secretos comerciales y la propiedad intelectual, como el código propietario y el software, también pueden estar en el radar.

Hoy en día, los datos son lo más importante. Con la creciente frecuencia de los ciberataques, las empresas deben adoptar medidas serias para garantizar la seguridad de sus datos.

¿Cómo se utilizan los datos filtrados?

Una vez que los piratas informáticos cuentan con datos filtrados o robados, pueden explotarlos para sus objetivos. A continuación, se presentan algunas formas de utilizar los datos expuestos para fines maliciosos.

Ingeniería social

Los datos filtrados suelen incluir información identificable, como nombres, contraseñas y direcciones de correo electrónico. Los hackers pueden utilizar esa información en ataques de ingeniería social. El phishing (o suplantación de identidad) es un ataque durante el cual los hackers envían correos electrónicos falsos que suplantan la identidad de una fuente de confianza para conseguir que la víctima potencial descargue un archivo adjunto malicioso o haga clic en un enlace peligroso. Sin las filtraciones de contraseñas, los hackers cosecharían menos éxitos a la hora de dirigir y llevar a cabo sus ataques.

Ataques de doxing

El doxing, o doxxing, es el acto de exponer información identificable, como el nombre, la dirección y el número de teléfono de una persona, con mala intención. Tras obtener datos filtrados, los piratas informáticos suelen tener más información de la que necesitan para hacer doxing a una persona. El doxing suele ir dirigido contra una persona o un grupo concreto de personas y se ha utilizado históricamente en campañas de acoso.

Ralentizar o interrumpir las operaciones de una empresa

Una filtración de datos puede tener un impacto muy negativo en la organización afectada. Según la National Cyber Security Alliance (la Alianza Nacional de Ciberseguridad)un sorprendente 60 % de las empresas quiebran en los seis meses siguientes después de haber sido víctimas de una filtración de datos.

Ejemplos reales de filtraciones y violaciones de datos

Las filtraciones y violaciones de datos son más comunes que nunca y los expertos creen que la frecuencia de este tipo de incidentes solo aumentará en el futuro. He aquí algunos incidentes importantes que tuvieron en vilo a empresas de todo el mundo, algunos con consecuencias graves:

• ChatGPT

  En marzo de 2023, se descubrió un fallo en el chatbot ChatGPT de OpenAI, que provocó la filtración de datos de clientes, incluidos sus nombres, títulos de chat y datos limitados de sus tarjetas de crédito. El equipo recalcó que no se expusieron los números completos de las tarjetas de crédito y que los datos filtrados se limitaron a los cuatro últimos dígitos de los números de las tarjetas, así como a las fechas de caducidad. La plataforma se desactivó temporalmente para solucionar el fallo.

• Credit Suisse

  En febrero de 2022, un denunciante inició una filtración de datos para exponer a una serie de delincuentes de alto perfil que empleaban los servicios del banco suizo Credit Suisse. La filtración afectó a más de 18 000 cuentas. Los datos expuestos se compartieron con el periódico alemán Süddeutsche Zeitung, que publicó un reportaje sobre el sistema bancario suizo.

• Twitch

  En octubre de 2021, la plataforma de streaming Twitch reveló que había sufrido una violación masiva de datos. La brecha expuso más de 100 GB de datos sensibles, incluidos los nombres, direcciones, direcciones de correo electrónico y ganancias de los streamers.

• Facebook

  El 3 de abril de 2021, un experto en seguridad descubrió una fuga masiva de datos que afectaba a 533 millones de usuarios de Facebook. En total, la fuga produjo 2 837 793 637 puntos de datos. De media, los hackers expusieron al menos cinco tipos de datos por usuario, incluidos números de teléfono, nombres completos, fechas de nacimiento, ID de Facebook, direcciones de correo electrónico y biografías de usuarios.

• Experian

  En febrero de 2021, se publicaron informes sobre la violación de datos más importante de la historia de Brasil, que expuso la información sensible de más de 200 millones de personas y 40 millones de empresas. Se sospechaba que Serasa Experian, una empresa de servicios de información y datos, estaba detrás. Los datos expuestos incluían información de identificación personal, como fechas de nacimiento, nombres completos, direcciones, fotografías, puntuaciones de crédito, ingresos y otros datos financieros.

Cómo evitar fugas y filtraciones de datos

Debes establecer prácticas y procedimientos de seguridad en tu empresa para minimizar el riesgo de una filtración de datos. Recuerda que no siempre puedes controlarlo todo en materia de seguridad. Nunca puedes saber si podrás convertirte en un objetivo o cuándo puede pasar. Sin embargo, adoptar algunas medidas preventivas te transmitirá tranquilidad.

• Controla tus datos

  Siempre debes guardar copias de seguridad de tus datos, pero no almacenes copias innecesarias. Mantener tu información confidencial en una base de datos segura en lugar de en varios terminales reducirá las posibilidades de filtración. También es muy importante conocer y controlar quién tiene acceso a qué información. A los empleados solo se les debe permitir el acceso a los datos que necesitan para su trabajo. De esta forma, se pueden evitar accidentes y fugas intencionadas.

• Impón restricciones en los correos electrónicos de tus empleados

  Puedes configurar Google Drive para notificar a tu personal cada vez que intente compartir archivos de la empresa con un tercero. Asimismo, configura filtros de correo no deseado y de phishing para reducir el riesgo de ataques de ingeniería social.

• Forma a tu personal

  Una comprensión básica de los potenciales riesgos de ciberseguridad resulta esencial en las empresas, especialmente para aquellas personas que manejan datos sensibles. Tanto los recepcionistas como los analistas jefe deben tener cuidado con los ataques de ingeniería social, los tipos de malware y los requisitos de seguridad interna. Si conocen y comprenden el daño que conlleva una filtración de datos para la empresa, actuarán con más cuidado.

• Implementa fuertes medidas de seguridad en tu empresa

  Utiliza cortafuegos para proteger tu red y restringir el tráfico específico. Asegúrate de que estar protegido contra el malware, como ransomware, spyware o keyloggers. Es mejor que utilices una VPN con cifrado potente para garantizar conexiones seguras, especialmente si tus empleados viajan a menudo o trabajan desde casa. Asegúrate de que utilizan contraseñas seguras y activa la autenticación de dos factores para las cuentas más sensibles. Anima a usar un generador de contraseñas para crear contraseñas complejas, guardarlas de forma segura en un almacén cifrado y actualizarlas frecuentemente para evitar filtraciones de contraseñas.

• Prepárate para lo peor

  Nadie quiere ponerse en lo peor, pero pueden producirse accidentes. Por lo tanto, se recomienda establecer un plan de respuesta y control de daños en caso de filtración de datos. Si sufres un ciberataque, cada minuto importa y ser capaz de actuar con rapidez podría ahorrarte mucho dinero y proteger la confianza de los clientes a largo plazo.

• Establece medidas de seguridad adecuadas para el almacenamiento en la nube.

  Se debe garantizar la seguridad de los datos almacenados en la nube. Sin las medidas de seguridad adecuadas, la información sensible puede quedar expuesta y ser robada. Tómate tu tiempo para configurar el almacenamiento en la nube conforme a las mejores prácticas de seguridad y, en caso necesario, adopta herramientas adicionales para proteger el almacenamiento en la nube.

• Evalúa y monitoriza los riesgos externos.

  Incluso si puedes garantizar una seguridad completa en tu organización, recuerda que tus datos pueden quedar expuestos a través de terceros, como socios y proveedores. Los ataques a la cadena de suministro van en aumento, y las empresas deben evaluar sus asociaciones con terceros desde el punto de vista de la seguridad para minimizar el riesgo de sufrir filtraciones de datos.

Prácticas de prevención de filtraciones de datos

En primer lugar, descubre qué tipo de datos se han filtrado. Los nombres de cuentas, direcciones de correo electrónico y contraseñas con frecuencia acaban en fugas de datos. Si tu cuenta se ha visto afectada, cambia la contraseña lo antes posible. Si utilizas la misma contraseña en cualquier otro sitio, debes cambiarla allí también. Si no lo haces, serás susceptible de sufrir un ataque de relleno de credenciales, y todas tus cuentas online estarán en riesgo. Si tus datos bancarios o información de tarjeta de crédito se han visto afectados, ponte inmediatamente en contacto con tu banco y bloquea tus tarjetas.

Si tu empresa sufre una filtración de datos, se debe actuar con rapidez. Asegúrate de contener la fuga en cuanto la descubras. Inicia una investigación detallada sobre qué sucedió exactamente y por qué. Informa a tus clientes sobre la filtración. Comparte toda la información relevante: la fecha y el tipo de filtración, así como los sistemas y usuarios afectados. Por último, actualiza la infraestructura de seguridad de la organización para reducir el riesgo de sufrir ataques cibernéticos en el futuro.

En resumen

Las filtraciones de datos suponen una creciente amenaza en el panorama digital y mantenerse a la última es más importante que nunca. Si te preocupa la seguridad de tus datos profesionales y personales, puedes empezar a tomar medidas para protegerlos. Lo primero que tiene que hacer tu negocio es configurar un gestor de contraseñas para empresas.

NordPass es un gestor de contraseñas que ofrece almacenamiento cifrado para todos tus datos confidenciales, ya sean credenciales de inicio de sesión, dirección, los datos de una tarjeta de crédito o la información del DNI. Además de tu almacén seguro, también tendrás acceso a funciones que ayudarán a reforzar la seguridad de tus datos, como Seguridad de la Contraseña, que comprueba si tus contraseñas son débiles o reutilizadas, y Supervisión de la filtración de datos que te avisa si te has visto afectado por una fuga de datos de contraseñas. Intenta ir un paso por delante de las filtraciones de datos y empieza a poner parches antes de que tu información pase a las manos equivocadas.