Mensaje de resumen: Elaborar su notificación de infracción durante una infracción es una receta para el desastre.
En diciembre de 2018, Booking.com sufrió una brecha de seguridad mediante un ataque de vishing . Para quienes no lo sepan, el vishing es un método de piratería informática en el que llamadas telefónicas y mensajes de voz simulan provenir de empresas legítimas, con el fin de engañar a los usuarios para que revelen información personal, como datos bancarios, números de tarjetas de crédito u otra información personal confidencial . Es similar al phishing y al smishing , pero utiliza sistemas telefónicos y correo de voz en lugar de correo electrónico o mensajes de texto. Lo que hace importante esta brecha no es la brecha en sí, sino las multas impuestas posteriormente por la Autoridad de Protección de Datos (DPA) de los Países Bajos. Siga leyendo para descubrir por qué se impusieron las multas.
Según el informe, el ataque se llevó a cabo contra hoteles en los Emiratos Árabes Unidos (EAU) mediante técnicas de ingeniería social telefónica. Los piratas informáticos llamaron al personal de 40 hoteles diferentes de la región y los convencieron para que les entregaran las credenciales de acceso a las cuentas de los hoteles en el sistema Booking.com.
Con estas credenciales robadas, los "Vishers" recuperaron datos de 4109 reservas de clientes, incluyendo nombres, direcciones y números de teléfono. Los delincuentes también se hicieron con los datos de las tarjetas de crédito de 283 de esas reservas. Los hackers incluso robaron 97 CVV (códigos de 3 dígitos en el reverso de la tarjeta) que jamás deberían guardarse en ningún sistema electrónico.
Monique Verdier, vicepresidenta de la Autoridad de Protección de Datos de los Países Bajos (APD), señaló en el informe de la Autoridad sobre la infracción:
Haciéndose pasar por personal del hotel en correos electrónicos o por teléfono, intentaron robar dinero. Este enfoque puede parecer muy creíble si el estafador sabe exactamente cuándo y qué habitación reservó, y luego le pide que pague las noches en cuestión. De esta manera, se pueden robar grandes cantidades de dinero.
Todo lo discutido hasta este punto en este artículo explica cómo ocurren la mayoría de las infracciones. Muy pocas empresas afectadas reciben multas gubernamentales adicionales, así que ¿qué sucedió para que esto sucediera?
Los reguladores de la DPA holandesa multaron a Booking.com con casi medio millón de euros, no porque hubiera habido una infracción, sino porque la empresa no informó de la infracción con la suficiente rapidez :
La Autoridad de Protección de Datos de los Países Bajos (APD) ha impuesto una multa de 475,000 € a Booking.com por la demora excesiva en informar de una filtración de datos. Tras la filtración, los delincuentes obtuvieron los datos personales de más de 4,000 clientes. También accedieron a la información de las tarjetas de crédito de casi 300 personas.
Las empresas de la UE tienen 72 horas para reportar una filtración desde el momento en que la confirmaron. Si bien Booking.com sabía que se había producido una filtración el 13 de enero, es posible que desconociera la magnitud de la filtración, lo que requeriría una notificación gubernamental. Sin embargo, en enero, cuando Booking.com confirmó que la filtración afectaba a más de 500 registros, debía notificar a la APD en un plazo de 72 horas. No lo hicieron, por lo que se les impuso una multa tan cuantiosa.
En cuanto a la notificación de infracciones, es fundamental notificar con prontitud a los usuarios afectados y a las agencias pertinentes, como la DPA en los Países Bajos. Desde 2002, se han promulgado innumerables leyes de privacidad de datos en todo el mundo. Estados Unidos cuenta con una diversidad de leyes de privacidad de datos en cada estado, pero no existe ninguna ley federal vigente. Al preparar su proceso de notificación de infracciones, si opera a nivel internacional, deberá considerar las siguientes regulaciones:
CyberHoot recomienda que conozca las leyes que afectan a su empresa y prepare un documento de Notificación de Infracciones que las refleje. No olvide probar el proceso anualmente.
Además de establecer un proceso de notificación de infracciones, su empresa puede tomar muchas otras medidas para reducir el riesgo de una infracción. CyberHoot recomienda las siguientes medidas básicas para contrarrestarlas:
Hoy en día, todo el mundo sufre infracciones de seguridad. No todos reciben multas por no notificar a las autoridades competentes con la suficiente rapidez. Cyberhoot recomienda ver los dos videos a continuación para aprender a establecer un proceso de notificación de infracciones para cualquier normativa que deba cumplir.
Fuentes:
Wikipedia – Leyes de notificación de infracciones
Lecturas adicionales:
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Tengo la suerte de tener...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
