Imagina que tienes una clínica, una tienda online o una academia, y un lunes por la mañana empiezan a llamar clientes preguntando por un correo raro que les ha llegado en vuestro nombre, con su nombre completo y su teléfono. Al rato vuestro informático encuentra accesos extraños a la base de datos y una descarga enorme hecha de madrugada. Eso es una brecha de datos en tu empresa, y le pasa a negocios de todos los tamaños, también a los que tienen las cosas bien hechas. No os preocupéis: lo que hagáis en los próximos tres días cuenta mucho más que lo que ya ha pasado, y es perfectamente manejable si se sigue un orden.
Te contamos qué hacer en las primeras horas si os han robado o se ha filtrado la base de datos de clientes, cómo y cuándo hay que notificarlo a la AEPD, cómo avisar a los afectados sin alarmarlos y cómo prevenirlo. Si todo empezó porque alguien de la plantilla metió sus claves en una web falsa, tienes los primeros pasos en phishing a un empleado, y si los delincuentes han usado vuestro correo para cobrar a vuestros clientes, en correo de empresa hackeado.
Respuesta rápida
Si os han robado la base de datos de clientes: apuntad la hora en la que lo supisteis, porque desde ahí corren las 72 horas para notificar a la AEPD. Cortad el acceso (contraseñas, cuentas, accesos de proveedores) sin apagar ni formatear nada, y guardad las pruebas. Averiguad qué datos y de cuántas personas, valorad el riesgo con Asesora Brecha y, si hay riesgo, notificad a la AEPD por su sede electrónica. Si el riesgo es alto, avisad a los clientes afectados. Denunciad y, si ha habido pagos, llamad al banco.
En este artículo
- Qué es una brecha de datos y por qué tu empresa es la responsable
- Las primeras horas: qué hacer si os han robado la base de datos
- Notificar la brecha a la AEPD en 72 horas
- Cómo avisar a los clientes afectados
- Denunciar y pedir ayuda a INCIBE
- Si además ha habido pagos o dinero de por medio
- Señales de que pueden haber entrado en vuestra base de datos
- Cómo evitar que vuelva a pasar
- Cuándo pedir ayuda profesional
Qué es una brecha de datos y por qué tu empresa es la responsable
La AEPD define una brecha de datos personales como cualquier incidente de seguridad que provoca la destrucción, la pérdida o la alteración de datos personales, o que alguien que no debería pueda verlos o llevárselos. Un robo de la base de datos de clientes es el caso más claro, pero también lo son un acceso de un tercero al CRM, un portátil sin cifrar que se pierde, un ransomware que deja los datos inaccesibles o un Excel con datos de clientes enviado por error a quien no era.
Lo importante es entender el papel de tu empresa. Si sois vosotros quienes decidís para qué y cómo se usan esos datos, sois el responsable del tratamiento, y eso significa que la obligación de gestionar la brecha, notificarla y avisar a los afectados es vuestra, aunque los delincuentes hayan entrado por un fallo de otro. Suena a mucha responsabilidad, pero la propia AEPD explica que notificar a tiempo es una muestra de diligencia.
Si la brecha ha sido de vuestro proveedor
Pasa mucho: los datos estaban en la plataforma de la tienda online, en el programa de la gestoría o en el CRM de una empresa externa, y el problema ha sido suyo. Ese proveedor, que trata los datos por encargo vuestro, tiene que avisaros sin dilación, pero quien responde ante la AEPD y ante los clientes sigue siendo tu empresa. INCIBE recoge un caso real así: una empresa encontró su base de datos a la venta en un foro, el proveedor que la gestionaba decía no haber tenido ninguna brecha y, aun así, ellos ya habían notificado a la AEPD dentro de las 72 horas. Hicieron bien. Pedidle al proveedor por escrito toda la información del incidente y no esperéis a que os la dé para empezar a moveros.
Las primeras horas: qué hacer si os han robado la base de datos
No hace falta saberlo todo para empezar. Lo ideal es que esto lo hagáis junto a vuestro informático o a la empresa que os lleva los sistemas:
- Apuntad cuándo os enterasteis. Las 72 horas para notificar a la AEPD empiezan a contar desde que tenéis constancia de la brecha, no desde que ocurrió. La guía de la AEPD recuerda que cuentan también los fines de semana y los festivos, así que si os enteráis un viernes por la tarde, el plazo se acaba el lunes por la tarde.
- Cortad el acceso, pero sin borrar nada. Cambiad las contraseñas de los servidores, de la base de datos y de las cuentas de administración, activad la verificación en dos pasos donde no la hubiera y revisad quién tiene permisos de administrador, quitando cualquier cuenta que nadie reconozca. Si un equipo está comprometido, apartadlo de la red, pero no lo apaguéis ni lo formateéis, porque dentro está la prueba de lo que ha pasado.
- Revisad los accesos de terceros. Proveedores, antiguos empleados, aplicaciones conectadas, contraseñas compartidas por correo. Muchas brechas entran por una puerta que nadie se acordaba de que estaba abierta.
- Guardad las pruebas. Los registros de acceso (los famosos logs), las alertas, los correos o mensajes que os hayan llegado y cualquier captura de lo que hayáis visto. Si alguien os escribe diciendo que tiene vuestros datos, no borréis ese mensaje.
- Averiguad qué se han llevado. Qué datos había (nombres, teléfonos, direcciones, DNI, cuentas bancarias, datos de salud), de cuántas personas aproximadamente y si estaban cifrados. Con esto vais a decidir si hay que notificar y a quién avisar.
- Si hay dinero de por medio, llamad al banco. Si los delincuentes han podido ver datos de tarjetas o cuentas, o si ya se ha hecho algún pago raro, llamad al banco por su teléfono oficial y contadle lo que ha pasado.
Consejo Kironic
Abrid desde el primer minuto un documento con todo lo que vais haciendo y a qué hora: cuándo os enterasteis, qué sistema estaba afectado, qué contraseñas cambiasteis, a quién llamasteis. El RGPD obliga a documentar todas las brechas, aunque al final no haya que notificarlas, y ese documento os servirá para la AEPD, para la denuncia, para el banco y para el seguro.
Notificar la brecha a la AEPD en 72 horas
El artículo 33 del RGPD obliga a la empresa a notificar la brecha a la AEPD en un máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo para las personas afectadas. Dicho de forma sencilla: si esos datos en malas manos pueden causar un problema a vuestros clientes (que los estafen, que suplanten su identidad, que se sepa algo íntimo), hay que notificar.
Para saber si es vuestro caso, la AEPD tiene una herramienta gratuita, Asesora Brecha, que en pocos minutos os orienta sobre si tenéis que notificar. Si la respuesta es que sí, la notificación se hace por internet, con el formulario de brechas de su sede electrónica. Os pedirá qué ha pasado, qué tipo de datos y cuántas personas están afectadas, qué consecuencias puede tener, qué medidas habéis tomado y una persona de contacto (el delegado de protección de datos, si lo tenéis).
Lo que más les pesa a las empresas es no tenerlo todo claro a las 72 horas, y es normal. El RGPD permite notificar lo que sepáis en ese momento y completar la información después, por fases. Lo que no conviene es esperar a tenerlo todo atado y pasarse del plazo, y si ocurre, hay que explicar el motivo del retraso. Si al final no hace falta notificar, dejad por escrito por qué lo decidisteis y qué hicisteis.
Cómo avisar a los clientes afectados
Si la brecha puede suponer un riesgo alto para las personas (por ejemplo, porque se han llevado DNI, cuentas bancarias, contraseñas o datos de salud), el artículo 34 del RGPD obliga a comunicárselo a ellas también, sin dilación indebida. La AEPD tiene otra herramienta, Comunica-Brecha RGPD, que os ayuda a valorar si hay que hacerlo.
El aviso tiene que estar escrito en lenguaje claro, como se lo explicaríais a un cliente en el mostrador: qué ha pasado, qué datos suyos se han visto afectados, qué estáis haciendo vosotros y qué puede hacer él para protegerse. Y aquí hay un consejo que vale oro: avisadles de que en los próximos días pueden recibir correos, SMS o llamadas haciéndose pasar por vuestra empresa, usando sus datos reales para parecer creíbles, y decidles cómo vais a contactar vosotros y qué no les vais a pedir nunca. Si a alguno le llegan a abrir cuentas o pedir préstamos a su nombre, puede seguir los pasos de suplantación de identidad online.
Hay casos en los que el RGPD no exige avisar uno a uno, por ejemplo si los datos estaban cifrados y nadie puede leerlos, o si contactar con cada persona supondría un esfuerzo desproporcionado, y entonces se puede hacer un comunicado público. Esto conviene valorarlo bien, porque un aviso claro y a tiempo suele proteger mucho más la confianza de los clientes que el silencio.
Denunciar y pedir ayuda a INCIBE
Entrar en los sistemas de una empresa y llevarse sus datos es delito, así que denunciad ante la Policía Nacional o la Guardia Civil, en comisaría o empezando por la denuncia electrónica de la Guardia Civil. Llevad el documento con la cronología, los registros que hayáis guardado y cualquier mensaje de los delincuentes. Tenéis el paso a paso en cómo denunciar una estafa online en España.
Las empresas pueden además reportar el incidente a INCIBE-CERT, que ayuda con la parte técnica, y si tenéis dudas en el momento, la línea de Tu Ayuda en Ciberseguridad atiende gratis en el 017. INCIBE tiene también una guía para empresarios sobre cómo gestionar una fuga de información que viene bien tener a mano.
Si alguien os escribe diciendo que tiene vuestra base de datos y que la publicará si no pagáis, no respondáis por vuestra cuenta ni paguéis a ciegas. Guardad el mensaje tal cual, incluidlo en la denuncia y pedid consejo antes de dar ningún paso.
Si además ha habido pagos o dinero de por medio
A veces la brecha viene acompañada de dinero: los delincuentes usan los datos para mandar facturas falsas a vuestros clientes, para cambiar un IBAN o para hacer cargos con tarjetas. Si ha salido dinero de la empresa o algún cliente ha pagado a una cuenta que no es la vuestra, llamad al banco cuanto antes para que pida la devolución al banco que recibió el dinero. Si todavía sigue en la cuenta de destino, se puede retener, y en muchos casos se recupera, sobre todo si se actúa en las primeras horas. Si lo que os ha pasado es que habéis pagado una factura con una cuenta cambiada, lo tienes explicado en la estafa del cambio de IBAN.
Imagina una tienda online pequeña que descubre un jueves que alguien ha descargado su lista de clientes aprovechando la contraseña de un antiguo empleado que nadie había dado de baja. Si ese mismo día cambian los accesos, guardan los registros, notifican a la AEPD el viernes con lo que saben y mandan a sus clientes un aviso claro diciendo que nunca les pedirán pagos por SMS, cuando el lunes empiezan a llegar mensajes falsos, la mayoría de los clientes ya sabe que no tiene que hacer caso. Y si alguno llega a pagar, avisar a su banco esa misma mañana da muchas opciones de recuperar el dinero.
Señales de que pueden haber entrado en vuestra base de datos
Muchas empresas se enteran tarde, y casi nunca por un gran aviso, sino por pequeños detalles que no cuadran. Estos son los más habituales:
- Clientes que reciben mensajes falsos en vuestro nombre con sus datos reales, o que os preguntan si habéis cambiado de cuenta bancaria.
- Accesos raros en los registros, a horas extrañas o desde países con los que no trabajáis, y descargas o exportaciones grandes que nadie ha pedido.
- Cuentas de administrador nuevas o permisos cambiados que nadie recuerda haber tocado.
- Alguien os escribe diciendo que tiene vuestros datos, o encontráis una muestra de vuestra base de datos en internet.
- Un proveedor os avisa de un incidente en su plataforma, aunque os diga que no os afecta.
Si notáis alguna de estas señales, empezad a apuntar las horas y revisadlo cuanto antes. Puede que no sea nada, pero si lo es, habréis ganado un tiempo muy valioso.
Cómo evitar que vuelva a pasar
Para prevenirlo, no dejéis que una sola contraseña abra la puerta a los datos de todos vuestros clientes. Activad la verificación en dos pasos en el correo, en el CRM, en la tienda online y en cualquier programa con datos de clientes, y no reutilicéis contraseñas entre servicios. Cuando alguien se vaya de la empresa, dadle de baja ese mismo día en todo, también en las herramientas que usaba de vez en cuando.
Pensad también en quién ve qué. No hace falta que toda la plantilla pueda descargar la base de datos entera: que cada persona tenga acceso solo a lo que necesita para su trabajo reduce muchísimo el daño si alguien cae en un engaño. Y guardad solo los datos que de verdad necesitáis, porque lo que no se tiene no se puede filtrar.
Con los proveedores, antes de darles vuestros datos, preguntadles cómo los protegen y dejad por escrito en el contrato que os avisarán enseguida si tienen un incidente. Haced copias de seguridad que no estén conectadas a la red y probad de vez en cuando que se pueden recuperar. Y contadle a la plantilla, con ejemplos reales, cómo llegan los engaños: casi todas las brechas empiezan con alguien que pulsa un enlace o abre un adjunto. Tenéis cómo actuar en ese caso en phishing a un empleado.
Por último, tened preparado un pequeño plan con quién hace qué si un día pasa: a quién se llama primero, quién habla con la AEPD y quién con los clientes. Una hoja con esto os ahorrará horas cuando más las vais a necesitar.
Cuándo pedir ayuda profesional
Si no sabéis por dónde entraron ni qué se llevaron, si había datos sensibles como DNI, cuentas bancarias o datos de salud, si alguien os está amenazando con publicar los datos o si ya se ha movido dinero, merece la pena una valoración profesional cuanto antes. Un perito informático puede preservar los registros y los equipos de forma que luego nadie pueda discutir que se han manipulado, y averiguar por dónde entraron y qué se llevaron. Te explicamos qué hace en perito informático y abogado. Un abogado puede ayudaros con la notificación a la AEPD, con el aviso a los clientes, con la denuncia y con el banco.
Somos abogados y peritos especialistas en estafas online, criptomonedas y delitos informáticos, y cada caso lo atiende siempre un abogado o un perito. Envíanos lo que tengáis, aunque esté desordenado: cuándo os disteis cuenta, qué sistema estaba afectado, qué datos había y cualquier mensaje que os hayan mandado. Lo revisamos gratis y te decimos qué hacer hoy y qué pasos dar después. Si ha habido pagos, en muchos casos el dinero se recupera, sobre todo si se actúa rápido. En Kironic hacemos todo lo posible por recuperar tu dinero.
Un último aviso: después de una brecha a veces aparecen «expertos» que garantizan recuperar los datos o el dinero al 100 % a cambio de un pago por adelantado. Suele ser la segunda estafa. Te contamos cómo reconocerlos en cómo detectar falsas empresas de recuperación.
