violación de datos

A pesar del objetivo de los desarrolladores de entregar un producto que funcione completamente según lo previsto, prácticamente todo el software y el hardware contiene errores. ^{[ 16 ]} Si un error crea un riesgo de seguridad, se denomina vulnerabilidad . ^{[ 17 ] [ 18 ] [ 19 ]} A menudo se publican parches para corregir las vulnerabilidades identificadas, pero aquellas que permanecen desconocidas ( de día cero ), así como aquellas que no han sido parcheadas, siguen siendo susceptibles de explotación. ^{[ 20 ]} Tanto el software escrito por el objetivo de la brecha como el software de terceros utilizado por ellos son vulnerables a ataques. ^{[ 18 ]} El proveedor de software rara vez es legalmente responsable del costo de las brechas, lo que crea un incentivo para producir software más barato pero menos seguro. ^{[ 21 ]}

Las vulnerabilidades varían en su capacidad de ser explotadas por actores maliciosos. Las más valiosas permiten al atacante inyectar y ejecutar su propio código (llamado malware ), sin que el usuario se dé cuenta. ^{[ 17 ]} Algunos malware son descargados por los usuarios al hacer clic en un enlace malicioso, pero también es posible que las aplicaciones web maliciosas descarguen malware simplemente al visitar el sitio web ( descarga automática ). Los keyloggers , un tipo de malware que registra las pulsaciones de teclas de un usuario, se utilizan a menudo en filtraciones de datos. ^{[ 22 ]} El hashing es una buena solución para mantener las contraseñas seguras frente a ataques de fuerza bruta , pero solo si el algoritmo es suficientemente seguro. ^{[ 23 ]}

Muchas filtraciones de datos ocurren en el hardware operado por un socio de la organización objetivo, incluyendo la filtración de datos de Target en 2013 y la de JPMorgan Chase en 2014. [ ^{24 ] La} subcontratación de trabajo a un tercero conlleva un riesgo de filtración de datos si esa empresa tiene estándares de seguridad más bajos; en particular, las pequeñas empresas a menudo carecen de los recursos para tomar tantas precauciones de seguridad. ^{[ 25 ] [ 24 ]} Como resultado, los acuerdos de subcontratación a menudo incluyen garantías de seguridad y disposiciones sobre qué sucede en caso de una filtración de datos. ^{[ 25 ]}

Las causas humanas de las brechas de seguridad a menudo implican una confianza mal depositada en un actor malicioso. Los ataques de ingeniería social se basan en engañar a un empleado para que haga algo que comprometa la seguridad del sistema, como revelar una contraseña o hacer clic en un enlace para descargar malware. ^{[ 26 ]} Las brechas de datos también pueden ser causadas deliberadamente por empleados. ^{[ 27 ]} Un tipo de ingeniería social, el phishing , ^{[ 26 ]} obtiene las credenciales de un usuario enviándole un mensaje malicioso que suplanta la identidad de una entidad legítima, como un banco, y logrando que el usuario ingrese sus credenciales en un sitio web malicioso controlado por el ciberdelincuente. La autenticación de dos factores puede impedir que el actor malicioso utilice las credenciales. ^{[ 28 ]} Capacitar a los empleados para que reconozcan la ingeniería social es otra estrategia común. ^{[ 29 ]}

Otra fuente de filtraciones es la divulgación accidental de información, por ejemplo, la publicación de información que debería mantenerse privada. ^{[ 30 ] [ 31 ]} Con el aumento del trabajo remoto y las políticas de "traiga su propio dispositivo" , grandes cantidades de datos corporativos se almacenan en los dispositivos personales de los empleados. Debido a la negligencia o al incumplimiento de las políticas de seguridad de la empresa, estos dispositivos pueden perderse o ser robados. ^{[ 32 ]} Las soluciones técnicas pueden prevenir muchas causas de error humano, como el cifrado de todos los datos confidenciales, la prohibición de que los empleados utilicen contraseñas inseguras, la instalación de software antivirus para prevenir el malware y la implementación de un sistema de parcheo robusto para garantizar que todos los dispositivos se mantengan actualizados. ^{[ 33 ]}

Aunque la atención a la seguridad puede reducir el riesgo de filtración de datos, no puede eliminarlo por completo. La seguridad no es la única prioridad de las organizaciones, y un intento de lograr una seguridad perfecta haría que la tecnología fuera inutilizable. ^{[ 34 ]} Muchas empresas contratan a un director de seguridad de la información (CISO) para supervisar la estrategia de seguridad de la información de la empresa. ^{[ 35 ]} Para obtener información sobre posibles amenazas, los profesionales de seguridad se conectarán entre sí y compartirán información con otras organizaciones que enfrentan amenazas similares. ^{[ 36 ]} Las medidas de defensa pueden incluir una estrategia actualizada de respuesta a incidentes, contratos con empresas de análisis forense digital que podrían investigar una filtración, ^{[ 37 ]} un seguro cibernético , ^{[ 38 ] [ 39 ]} y la monitorización de la web oscura para detectar credenciales robadas de empleados. ^{[ 40 ]} En 2024, el Instituto Nacional de Estándares y Tecnología (NIST) de Estados Unidos publicó una publicación especial, "Confidencialidad de datos: Identificación y protección de activos contra filtraciones de datos". ^{[ 41 ]} El Marco de Ciberseguridad del NIST también contiene información sobre protección de datos. ^{[ 42 ]} Otras organizaciones han publicado diferentes estándares para la protección de datos. ^{[ 43 ]}

La arquitectura de los sistemas de una empresa juega un papel clave para disuadir a los atacantes. Daswani y Elbayadi recomiendan tener solo un medio de autenticación , ^{[ 44 ]} evitar sistemas redundantes y establecer la configuración más segura como predeterminada. ^{[ 45 ]} La defensa en profundidad y el privilegio distribuido —que requiere múltiples autenticaciones para realizar una operación— pueden hacer que los sistemas sean más difíciles de comprometer. ^{[ 46 ]} Otorgar a los empleados y al software la menor cantidad de acceso necesaria para cumplir sus funciones ( principio del mínimo privilegio ) limita la probabilidad y el daño de las brechas. ^{[ 44 ] [ 47 ]} Varias brechas de datos fueron posibles gracias a la confianza en la seguridad por ocultación ; las víctimas habían colocado credenciales de acceso en archivos de acceso público. ^{[ 48 ]} Sin embargo, priorizar la facilidad de uso también es importante porque, de lo contrario, los usuarios podrían eludir los sistemas de seguridad. ^{[ 49 ]} Las pruebas de software rigurosas , incluidas las pruebas de penetración , pueden reducir las vulnerabilidades del software y deben realizarse antes de cada lanzamiento, incluso si la empresa utiliza un modelo de integración continua/despliegue continuo donde se implementan constantemente nuevas versiones. ^{[ 50 ]}

El principio de mínima persistencia ^{[ 51 ]} —evitar la recopilación de datos innecesarios y la destrucción de datos que ya no son necesarios— puede mitigar el daño causado por las filtraciones. ^{[ 52 ] [ 53 ] [ 54 ]} El desafío radica en que la destrucción de datos puede ser más compleja con los sistemas de bases de datos modernos. ^{[ 55 ]}

Muchas filtraciones de datos nunca se detectan. ^{[ 56 ]} De las que sí se detectan, la mayoría son detectadas por terceros; ^{[ 57 ] [ 58 ]} otras son detectadas por empleados o sistemas automatizados. ^{[ 59 ]} La respuesta a las filtraciones suele ser responsabilidad de un equipo dedicado a la respuesta a incidentes de seguridad informática , que a menudo incluye expertos técnicos, relaciones públicas y asesoría legal. ^{[ 60 ] [ 61 ]} Muchas empresas no tienen suficiente experiencia interna y subcontratan algunas de estas funciones; ^{[ 62 ]} a menudo, estos recursos externos son proporcionados por la póliza de seguro cibernético. ^{[ 63 ]} Después de que la empresa tiene conocimiento de una filtración de datos, los siguientes pasos generalmente incluyen confirmar que ocurrió, notificar al equipo de respuesta e intentar contener el daño. ^{[ 64 ]}

Para detener la exfiltración de datos, las estrategias comunes incluyen apagar los servidores afectados, desconectarlos, parchear la vulnerabilidad y reconstruir . ^{[ 65 ]} Una vez que se identifica la forma exacta en que se comprometieron los datos, generalmente solo hay una o dos vulnerabilidades técnicas que deben abordarse para contener la brecha y evitar que se repita. ^{[ 66 ]} Una prueba de penetración puede verificar que la solución funciona como se espera. ^{[ 67 ]} Si hay malware involucrado, la organización debe investigar y cerrar todos los vectores de infiltración y exfiltración, así como localizar y eliminar todo el malware de sus sistemas. ^{[ 68 ]} Si los datos se publicaron en la dark web , las empresas pueden intentar que se eliminen. ^{[ 69 ]} Contener la brecha puede comprometer la investigación, y algunas tácticas (como apagar servidores) pueden violar las obligaciones contractuales de la empresa. ^{[ 70 ]}

La recopilación de datos sobre la violación de seguridad puede facilitar litigios o procesos penales posteriores, ^{[ 71 ]} pero solo si los datos se recopilan de acuerdo con las normas legales y se mantiene la cadena de custodia . ^{[ 72 ]} El análisis forense de bases de datos puede reducir los registros involucrados, limitando el alcance del incidente. ^{[ 73 ]} Se puede llevar a cabo una investigación exhaustiva, que puede ser incluso más costosa que un litigio . ^{[ 58 ]} En los Estados Unidos, las violaciones de seguridad pueden ser investigadas por agencias gubernamentales como la Oficina de Derechos Civiles , el Departamento de Salud y Servicios Humanos de los Estados Unidos y la Comisión Federal de Comercio (FTC). ^{[ 74 ]} Las agencias de aplicación de la ley pueden investigar las violaciones de seguridad ^{[ 75 ]} aunque los piratas informáticos responsables rara vez son capturados. ^{[ 76 ]}

Las notificaciones se envían normalmente según lo exige la ley. ^{[ 77 ]} Muchas empresas ofrecen monitoreo de crédito gratuito a las personas afectadas por una filtración de datos, aunque solo alrededor del 5 por ciento de los elegibles aprovechan el servicio. ^{[ 78 ]} Emitir nuevas tarjetas de crédito a los consumidores, aunque costoso, es una estrategia eficaz para reducir el riesgo de fraude con tarjetas de crédito . ^{[ 78 ]} Las empresas intentan restaurar la confianza en sus operaciones comerciales y toman medidas para evitar que se repita una filtración. ^{[ 79 ]}

Después de una filtración de datos, los delincuentes ganan dinero vendiendo datos, como nombres de usuario, contraseñas, información de redes sociales o cuentas de fidelización de clientes , números de tarjetas de débito y crédito , ^{[ 12 ]} e información de salud personal (ver filtración de datos médicos ). ^{[ 80 ]} Los delincuentes a menudo venden estos datos en la dark web —partes de internet donde es difícil rastrear a los usuarios y la actividad ilícita está muy extendida— utilizando plataformas como .onion o I2P . ^{[ 81 ]} Originada en la década de 2000, la dark web, seguida por las criptomonedas imposibles de rastrear como Bitcoin en la década de 2010, hizo posible que los delincuentes vendieran datos obtenidos en filtraciones con un riesgo mínimo de ser atrapados, lo que facilitó un aumento del hackeo. ^{[ 82 ] [ 83 ]} Un mercado popular de la darknet, Silk Road , fue cerrado en 2013 y sus operadores arrestados, pero surgieron varios otros mercados en su lugar. ^{[ 84 ]} Telegram también es un foro popular para la venta ilegal de datos. ^{[ 85 ]} Cuando las bases de datos filtradas contienen números de Seguro Social completos y fechas de nacimiento, las personas expuestas se enfrentan a un mayor riesgo a largo plazo de robo de identidad.

Esta información puede utilizarse para diversos fines, como el envío de correo basura , la obtención de productos con la información de fidelización o pago de la víctima, el robo de identidad , el fraude con medicamentos recetados o el fraude de seguros . ^{[ 86 ]} La amenaza de una filtración de datos o la revelación de información obtenida en una filtración de datos puede utilizarse para la extorsión . ^{[ 12 ]}

Los consumidores pueden sufrir diversas formas de daño tangible o intangible por el robo de sus datos personales, o no notar ningún daño. ^{[ 87 ]} Una parte significativa de los afectados por una violación de datos se convierten en víctimas de robo de identidad . ^{[ 78 ]} La información de identificación de una persona a menudo circula en la web oscura durante años, lo que causa un mayor riesgo de robo de identidad independientemente de los esfuerzos de remediación. ^{[ 76 ] [ 88 ]} Incluso si un cliente no termina pagando la factura por fraude con tarjeta de crédito o robo de identidad, tiene que dedicar tiempo a resolver la situación. ^{[ 89 ] [ 90 ]} Los daños intangibles incluyen el doxing (revelar públicamente la información personal de alguien), por ejemplo, el uso de medicamentos o fotos personales. ^{[ 91 ]}

Los impactos en la empresa pueden abarcar desde la pérdida de negocios, la reducción de la productividad de los empleados debido a que los sistemas están fuera de servicio o el personal se redirige para trabajar en la brecha, ^{[ 92 ]} la renuncia o el despido de altos ejecutivos, ^{[ 74 ]} el daño a la reputación , ^{[ 74 ] [ 93 ]} y el aumento del costo futuro de auditoría o seguridad. ^{[ 74 ]} Hay cierta evidencia que sugiere una disminución temporal y a corto plazo en el precio de las acciones . ^{[ 94 ]} Las pérdidas de los consumidores por una brecha suelen ser una externalidad negativa para el negocio. ^{[ 95 ]} Algunos expertos han argumentado que la evidencia sugiere que no hay suficientes costos directos o daños a la reputación por las brechas de datos como para incentivar suficientemente su prevención. ^{[ 96 ] [ 97 ]}

Estimar el costo de las filtraciones de datos es difícil, tanto porque no todas las filtraciones se reportan como porque calcular el impacto de las filtraciones en términos financieros no es sencillo. Hay múltiples formas de calcular el costo para las empresas, especialmente en lo que respecta al tiempo del personal dedicado a lidiar con la filtración. ^{[ 98 ]} El autor Kevvie Fowler estima que más de la mitad del costo directo incurrido por las empresas se presenta en forma de gastos de litigio y servicios proporcionados a las personas afectadas, y el costo restante se divide entre notificación y detección, incluyendo análisis forense e investigación. Argumenta que estos costos se reducen si la organización ha invertido en seguridad antes de la filtración o tiene experiencia previa con filtraciones. Cuantos más registros de datos estén involucrados, más costosa será una filtración. ^{[ 99 ]} En 2016, el investigador Sasha Romanosky estimó que si bien el costo promedio de una filtración para la empresa objetivo fue de alrededor de $5 millones, esta cifra estaba inflada por algunas filtraciones muy costosas, y la filtración de datos típica fue mucho menos costosa, alrededor de $200,000. Romanosky estimó que el costo anual total para las corporaciones en los Estados Unidos sería de alrededor de $10 mil millones. ^{[ 100 ]} Se estimó que una filtración de datos en 2025 en el intercambio de criptomonedas Coinbase podría generar pérdidas totales de hasta $400 millones, incluyendo daños a los clientes, un rescate exigido por los hackers, costos legales, pérdida de criptoactivos, consecuencias para la reputación y cumplimiento normativo. ^{[ 101 ] [ 102 ]}

La ley relativa a las filtraciones de datos suele encontrarse en la legislación para proteger la privacidad en general, y está dominada por disposiciones que exigen la notificación cuando se producen filtraciones. ^{[ 103 ]} Las leyes difieren en cómo se definen las filtraciones, ^{[ 104 ]} qué tipo de información se protege, el plazo para la notificación, ^{[ 105 ]} y quién tiene legitimación para demandar si se infringe la ley. ^{[ 106 ]} Las leyes de notificación aumentan la transparencia y proporcionan un incentivo reputacional para que las empresas reduzcan las filtraciones. ^{[ 107 ]} El coste de notificar la filtración puede ser elevado si muchas personas se ven afectadas y se incurre independientemente de la responsabilidad de la empresa, por lo que puede funcionar como una multa de responsabilidad objetiva . ^{[ 108 ]}

En el sector sanitario, la Regla de Notificación de Violaciones de HIPAA , promulgada en Estados Unidos como parte de la Ley HITECH en 2009, exige que las entidades cubiertas y los socios comerciales notifiquen a las personas afectadas en un plazo de 60 días a partir del descubrimiento de una violación de información sanitaria protegida (PHI) no segura. ^{[ 109 ]} Las violaciones que afecten a 500 o más personas también deben notificarse a la Oficina de Derechos Civiles (OCR) y a medios de comunicación destacados, y se publican en el Portal de Violaciones del HHS, conocido informalmente como el "Muro de la Vergüenza". ^{[ 110 ]} El ciberataque a Change Healthcare en febrero de 2024 , que expuso los datos de aproximadamente 100 millones de personas, puso de relieve la magnitud de los riesgos de las violaciones de datos sanitarios y condujo a un mayor escrutinio de las prácticas de ciberseguridad en todo el sector sanitario. ^{[ 111 ]}

A partir de 2024Thomas on Data Breach enumeró 62 estados miembros de las Naciones Unidas que están cubiertos por leyes de notificación de violación de datos. Algunos otros países requieren la notificación de violación en leyes de protección de datos más generales . ^{[ 112 ]} Poco después de la primera violación de datos reportada en abril de 2002, California aprobó una ley que exige la notificación cuando se viola la información personal de un individuo. ^{[ 113 ]} En los Estados Unidos, las leyes de notificación proliferaron después de la violación de datos de ChoicePoint en febrero de 2005 , ampliamente publicitada en parte debido a la gran cantidad de personas afectadas (más de 140 000) y también debido a la indignación porque la empresa inicialmente informó solo a las personas afectadas en California. ^{[ 114 ] [ 115 ]} En 2018, entró en vigor el Reglamento General de Protección de Datos (RGPD) de la Unión Europea . El RGPD exige la notificación dentro de las 72 horas, con multas muy altas posibles para las grandes empresas que no cumplan. Este reglamento también estimuló el endurecimiento de las leyes de privacidad de datos en otros lugares. ^{[ 116 ] [ 117 ]} A partir de 2022La única ley federal de los Estados Unidos que exige la notificación de violaciones de datos se limita a los datos médicos regulados por la HIPAA , pero los 50 estados (desde que Alabama aprobó una ley en 2018) tienen sus propias leyes generales de notificación de violaciones de datos. ^{[ 117 ]}

Las medidas para proteger los datos de una violación de seguridad suelen estar ausentes en la ley o ser vagas. ^{[ 103 ]} Este vacío se cubre con los estándares requeridos por los seguros cibernéticos , que son contratados por la mayoría de las grandes empresas y funcionan como regulación de facto . ^{[ 118 ] [ 119 ]} De las leyes existentes, hay dos enfoques principales: uno que prescribe estándares específicos a seguir y el enfoque de razonabilidad . ^{[ 120 ]} El primero se usa raramente debido a la falta de flexibilidad y la reticencia de los legisladores a arbitrar cuestiones técnicas; con el segundo enfoque, la ley es vaga, pero pueden surgir estándares específicos de la jurisprudencia . ^{[ 121 ]} Las empresas a menudo prefieren el enfoque de estándares para brindar mayor seguridad jurídica , pero podrían cumplir con todos los requisitos sin proporcionar un producto seguro. ^{[ 122 ]} Un defecto adicional es que las leyes se aplican mal, con sanciones a menudo mucho menores que el costo de una violación de seguridad, y muchas empresas no las cumplen. ^{[ 123 ]}

Se han presentado muchas demandas colectivas , demandas derivadas y otros litigios después de filtraciones de datos. ^{[ 124 ]} A menudo se resuelven independientemente del mérito del caso debido al alto costo del litigio. ^{[ 125 ] [ 126 ]} Incluso si se paga un acuerdo, pocos consumidores afectados reciben dinero, ya que generalmente son solo centavos a unos pocos dólares por víctima. ^{[ 74 ] [ 126 ]} Los juristas Daniel J. Solove y Woodrow Hartzog argumentan que "El litigio ha aumentado los costos de las filtraciones de datos pero ha logrado poco más". ^{[ 127 ]} Los demandantes a menudo tienen dificultades para probar que sufrieron daños por una filtración de datos. ^{[ 127 ]} La contribución de las acciones de una empresa a una filtración de datos varía, ^{[ 123 ] [ 128 ]} y, del mismo modo, la responsabilidad por el daño resultante de las filtraciones de datos es un asunto controvertido. Se discute qué estándar debe aplicarse, si es responsabilidad objetiva, negligencia u otro. ^{[ 128 ]}