Les robaron la base de datos de clientes: las primeras 72 horas y cómo se gestionó con la AEPD

Empresa de servicios. Nombres, DNI, teléfonos, direcciones y datos bancarios de 4.300 clientes en manos de un tercero. Se enteraron por un cliente.

Este caso asusta porque no hay rescate que pagar ni servidor que restaurar. Los datos ya están fuera. Lo único que puedes controlar es lo que haces a partir de ese momento.

Detección

Un cliente recibió un correo de extorsión con sus propios datos personales y llamó a la empresa. La empresa nos llamó esa misma tarde.

En pocas horas localizamos la entrada: una copia de seguridad de la base de datos en un servidor accesible desde internet, sin contraseña. Llevaba meses ahí. Cualquiera que supiera dónde mirar podía descargarla.

Actuación

Lo primero fue securizar todo de primeras, antes de pensar en informes:

Cerrar el acceso al servidor expuesto.
Cambiar todas las credenciales de la empresa, no solo las de ese servidor.
Revisar qué más estaba expuesto desde fuera.
Conservar las evidencias (registros de acceso, fechas, ficheros) por si hacían falta después.

Después, gestionar la brecha con la Agencia Española de Protección de Datos. Aquí es donde una pyme suele perderse, y donde acompañamos de la mano:

Notificación a la AEPD a las 31 horas, dentro del plazo de 72, con lo que se sabía en ese momento y lo que se estaba haciendo.
Registro interno de la incidencia: qué pasó, qué datos, cuántas personas, qué medidas.
Comunicación a los clientes afectados con un texto claro, sin alarmismo y con lo que tenían que hacer (vigilar cargos, desconfiar de correos que citen sus datos, cómo contactar).

Mitigación

Cuando entran por un sitio, lo normal es que haya más sitios. Hicimos un análisis exhaustivo de la seguridad digital de la empresa, no solo del punto por el que entraron:

Accesos y permisos de cada persona: quién puede ver qué y por qué.
Copias de seguridad: dónde están, quién llega a ellas, si están cifradas.
Correo, web y dispositivos de la empresa.
Proveedores con acceso a sus sistemas.
Dónde vive cada dato personal y si hace falta que viva ahí.

Salió un plan priorizado por riesgo. Lo urgente se ejecutó durante el propio análisis, sin esperar a entregar nada.

Acompañamiento

Una brecha de datos no se cierra con la notificación. Desde entonces:

Formación en ciberseguridad a toda la plantilla, no solo a sistemas: qué es un dato personal, cómo se maneja, qué no se envía por correo.
Revisiones periódicas de lo acordado en el plan, con fechas y responsables.
Seguimiento del expediente con la AEPD hasta su cierre.
Un canal directo para dudas del día a día. Cuando alguien no sabe si un correo es legítimo, pregunta antes de hacer clic.

Hoy la empresa sabe qué datos tiene, dónde están y quién los toca. Antes no lo sabía.

Resultado

Expediente con la AEPD cerrado a los cinco meses sin sanción, en buena parte por haber notificado a tiempo y demostrado medidas. De 4.300 clientes informados, la empresa perdió tres. La relación con el resto se mantuvo precisamente por cómo se les comunicó.

¿Te puede pasar?

¿Sabes dónde están todas las copias de tu base de datos de clientes?
¿Alguien ha mirado alguna vez qué se ve de tu empresa desde internet?
¿Sabrías qué hacer en las primeras 72 horas?

Si has dudado en alguna, pide una auditoría exprés. En pocos días te decimos qué tienes expuesto y qué es urgente. Y si ya ha pasado, llámanos hoy: las primeras horas cuentan.