Qué es una filtración de datos y cómo actuar
Autor: Redacción Domeny.ForSale Publicado
En breve: Una filtración de datos se produce cuando la información llega a personas no autorizadas o se pone a su disposición. Puede deberse a un ataque, un error humano o una protección inadecuada del sistema; no implica necesariamente que los datos se publiquen en internet. Las consecuencias dependen sobre todo del tipo de información expuesta: las medidas necesarias tras la filtración de una dirección de correo electrónico no son las mismas que tras la exposición de una contraseña o un número PESEL.
¿Cuándo se produce una filtración de datos?
Hablamos de filtración, por ejemplo, cuando alguien roba una base de datos de clientes, un empleado envía un documento al destinatario equivocado o una carpeta con archivos confidenciales queda accesible públicamente sin iniciar sesión. Los datos pueden haberse copiado aunque sigan en el sistema de la empresa. Por tanto, que no desaparezcan archivos no significa que estén a salvo.
Una filtración puede afectar a datos personales, es decir, información que permite identificar a una persona, pero también a secretos empresariales, código de programas o claves API: credenciales que permiten a los programas utilizar servicios. Por ello, no todos los incidentes afectan a la privacidad; a veces, el riesgo consiste en el acceso a la infraestructura o en la pérdida de confidencialidad de la documentación.
En el contexto de RODO, un concepto más amplio es la violación de la seguridad de los datos personales. Abarca no solo la divulgación o el acceso no autorizados, sino también, entre otras cosas, la pérdida, destrucción o modificación de datos. La palabra «filtración» no describe por sí sola todas las posibles violaciones.
¿Cómo queda expuesta la información?
La causa puede ser una vulnerabilidad del software, pero también un simple descuido. Estos son algunos casos habituales:
- Robo de una cuenta: el atacante obtiene la contraseña, por ejemplo, mediante phishing, que consiste en hacerse pasar por un remitente de confianza para obtener información mediante engaños.
- Permisos incorrectos: un archivo, una copia de seguridad o una base de datos son accesibles para más personas de las que deberían.
- Error de envío: un mensaje con datos llega al destinatario equivocado o deja visibles las direcciones de los destinatarios en el campo «Para».
- Software malicioso: un programa roba archivos, contraseñas o datos de sesiones activas que pueden permitir acceder a la cuenta sin volver a iniciar sesión.
- Actuación de una persona con acceso: un empleado o colaborador copia información más allá de lo autorizado.
Una filtración en un proveedor de servicios puede afectar a un usuario que no haya cometido ningún error. Por eso, proteger el propio dispositivo es necesario, pero no sustituye a elegir los servicios con cuidado y limitar la cantidad de datos que se facilitan.
¿De qué dependen las consecuencias de una filtración?
Lo más importante es determinar qué información se ha expuesto exactamente y con qué otros datos puede combinarse. Una dirección de correo electrónico por sí sola no suele bastar para iniciar sesión en una cuenta. Sin embargo, combinada con el historial de compras, puede facilitar la elaboración de un mensaje convincente que parezca proceder de una tienda.
| Información expuesta | Principal riesgo | Primera medida |
|---|---|---|
| Correo electrónico o número de teléfono | Estafas personalizadas y contactos no deseados | Verifica al remitente por un canal independiente |
| Contraseña | Robo de la cuenta e intentos de iniciar sesión en otros servicios | Cambia la contraseña en todos los servicios donde la hayas reutilizado |
| Datos de la tarjeta de pago | Pagos no autorizados | Contacta con el banco |
| PESEL o datos de un documento de identidad | Intentos de suplantar al titular de los datos | Valora solicitar el bloqueo del PESEL y consulta las demás recomendaciones |
| Documentación médica o correspondencia privada | Vulneración de la privacidad, chantaje | Conserva las pruebas y protege el acceso a las cuentas |
Por ejemplo: una tienda informa de una filtración de direcciones de correo electrónico e historiales de pedidos, pero no de contraseñas ni de datos de pago. El riesgo más inmediato puede ser una solicitud falsa de un pago adicional para un pedido concreto. Ese aviso no implica automáticamente que debas sustituir la tarjeta, pero sí que debes comprobar las solicitudes de pago directamente con la tienda.
¿Qué hacer al recibir un aviso de filtración?
Primero, confirma que el aviso sea auténtico. Abre la aplicación del proveedor o escribe tú mismo la dirección de su web, en lugar de utilizar el enlace de un mensaje sospechoso. Los avisos falsos de filtraciones también pueden ser una forma de obtener datos mediante engaños.
- Determina el alcance del incidente. Comprueba qué datos se han expuesto, si afecta a tu cuenta y qué medidas recomienda el proveedor. Un aviso poco claro es motivo para hacer preguntas, no una prueba de que se haya filtrado todo.
- Protege las cuentas en riesgo. Si se ha expuesto una contraseña, establece una nueva y única. Cámbiala también en los demás servicios donde la utilizabas; el correo electrónico tiene especial prioridad, ya que permite restablecer las contraseñas de otras cuentas.
- Revisa los accesos. Cierra las sesiones que no reconozcas o todas las sesiones activas, verifica los datos de recuperación de la cuenta y activa la autenticación multifactor, que añade una comprobación adicional al iniciar sesión.
- Adapta la respuesta a los datos afectados. Si se trata de datos financieros, contacta con el banco por un canal oficial. Consulta las condiciones y el alcance de la protección asociada al bloqueo del PESEL en el portal de la Administración pública o en la aplicación mObywatel.
- Conserva la documentación. Guarda el aviso, las fechas, los mensajes sospechosos y la información sobre las transacciones. En caso de fraude, te ayudarán a comunicar lo ocurrido al banco o a la policía.
No introduzcas tu contraseña, número PESEL ni datos de tarjeta en cualquier «comprobador de filtraciones». Que tu dirección de correo no aparezca en una base de datos de incidentes conocidos tampoco garantiza que tus datos nunca hayan quedado expuestos.
¿Cómo reducir el riesgo y responder en la empresa?
El usuario puede limitar las consecuencias de una futura filtración utilizando contraseñas únicas guardadas en un gestor de contraseñas, añadiendo una comprobación adicional al inicio de sesión y eliminando cuentas innecesarias. Estas medidas no evitan todas las exposiciones de información, pero dificultan que un solo incidente se aproveche para tomar el control de cuentas en otros servicios.
La empresa debe restringir el acceso no autorizado, preservar los indicios del incidente y determinar su alcance. El empleado debe avisar de inmediato a la persona responsable de seguridad, en lugar de borrar por su cuenta registros o pruebas. La evaluación del incidente también puede requerir la participación del delegado de protección de datos, si se ha designado uno.
Las obligaciones de notificar la violación a la autoridad de control e informar a las personas afectadas dependen de las circunstancias y de la evaluación del riesgo. Esta es información general, no asesoramiento jurídico individualizado; los requisitos y plazos vigentes deben comprobarse en RODO y en los materiales de UODO.
Si acabas de recibir una alerta, empieza por consultar el comunicado oficial para determinar qué datos se han expuesto. Esa información te permitirá decidir qué medidas son urgentes, en lugar de hacer cambios al azar.
Consulta también: ¿Qué es CERT Polska?
Lee también
