¿Qué es una Brecha de Datos?

¿Qué es una brecha de datos?

Una brecha de datos ocurre cuando información sensible, confidencial o protegida es accedida, divulgada o robada por una persona no autorizada. En el ámbito de los pagos, una brecha de datos suele implicar la exposición de datos del titular de la tarjeta: números de tarjeta, fechas de caducidad, códigos de seguridad o información personal asociada a las cuentas de pago.

Las brechas de datos pueden afectar a empresas de cualquier tamaño y sector. Pueden producirse por ciberataques sofisticados, errores humanos simples, amenazas internas o robos físicos. Las consecuencias son graves: sanciones económicas, responsabilidad legal, pérdida de confianza del cliente y, en muchos casos, daños duraderos a la reputación y a la viabilidad comercial de la empresa.

Cómo se producen las brechas de datos de pago

La mayoría de las brechas de datos de pago entran en unas pocas categorías, cada una de las cuales explota debilidades distintas de la postura de seguridad de una organización.

Malware y ransomware

El software malicioso instalado en los sistemas de pago puede capturar los datos de tarjeta mientras se procesan. El malware de punto de venta (POS), por ejemplo, intercepta los datos de la tarjeta desde la memoria de los terminales de pago antes de que se cifren. El ransomware puede bloquear sistemas enteros y pedir un rescate por su liberación, a menudo extrayendo los datos antes de cifrarlos.

Phishing e ingeniería social

Los atacantes engañan a los empleados para que revelen credenciales, hagan clic en enlaces maliciosos o descarguen ficheros infectados. El phishing sigue siendo uno de los vectores iniciales de ataque más comunes en las brechas de datos porque ataca al eslabón más débil de cualquier sistema de seguridad: las personas. Una sola cuenta de correo comprometida puede dar acceso a sistemas de pago, bases de datos de clientes y redes internas.

Credenciales débiles o robadas

Contraseñas por defecto, contraseñas débiles, cuentas compartidas y credenciales robadas en brechas anteriores dan a los atacantes un acceso que parece legítimo a los sistemas. Una vez dentro, pueden moverse lateralmente por la red, escalar privilegios y acceder a datos del titular de la tarjeta sin disparar alarmas evidentes.

Amenazas internas

Empleados, contratistas o cualquiera con acceso legítimo a los datos de pago puede hacer un mal uso de ese acceso. En entornos de centro de contacto, este riesgo es especialmente agudo: los agentes que oyen datos de tarjeta o los ven en pantalla tienen la oportunidad de grabar y aprovechar indebidamente esa información. Las amenazas internas son difíciles de detectar porque el acceso parece autorizado.

Grabaciones de llamadas sin proteger

Este es un vector de brecha importante y a menudo pasado por alto en entornos de pago telefónico. Si los datos de la tarjeta se dicen en voz alta durante una llamada y la grabación no está bien protegida, cualquiera con acceso a los ficheros puede extraer números de tarjeta. Las grabaciones almacenadas sin cifrar, en unidades compartidas o conservadas más tiempo del necesario crean un repositorio persistente de datos explotables.

El coste de una brecha de datos

El impacto económico de una brecha de datos va mucho más allá del incidente inmediato. Los costes incluyen:

• Investigación forense: contratar a un PCI Forensic Investigator (PFI, Investigador Forense PCI) para determinar lo que pasó, lo que puede costar decenas de miles de libras
• Multas de las marcas de tarjeta: Visa, Mastercard y otras redes pueden imponer sanciones que van de miles a millones de libras según la gravedad
• Notificación a clientes: requisitos legales para notificar a las personas afectadas, lo que conlleva costes de envío, capacidad de centro de llamadas y servicios de monitorización de crédito
• Multas regulatorias: bajo el RGPD, la autoridad de protección de datos puede imponer multas de hasta el 4 % de la facturación anual global o 17,5 millones de libras, la cifra que sea mayor
• Costes de reemisión de tarjetas: los bancos emisores pueden cobrar a la entidad afectada el coste de sustituir las tarjetas comprometidas
• Aumento de comisiones de procesamiento: los bancos adquirentes pueden reclasificar al comercio como de alto riesgo, lo que provoca comisiones más altas por transacción
• Pérdida de negocio: fuga de clientes, cancelación de contratos y dificultad para captar nuevos clientes tras una brecha

Requisitos de notificación de brechas de datos

En el Reino Unido, las organizaciones que sufren una brecha de datos que afecte a datos personales deben notificarlo a la Information Commissioner's Office (ICO, oficina del comisionado de información) en un plazo de 72 horas si la brecha puede suponer un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, también hay que notificar directamente a las personas afectadas.

Además, la industria de tarjetas de pago tiene sus propios requisitos de notificación. Los comercios que sufren una brecha de datos de tarjeta deben notificarlo a su banco adquirente, que a su vez informa a las marcas de tarjeta. Normalmente se exige una Investigación Forense PCI para determinar el alcance y la causa de la brecha.

Cómo prevenir las brechas de datos de pago

Prevenir siempre es mejor —y más barato— que remediar. Las estrategias clave incluyen:

• Minimiza los datos que conservas: si no almacenas datos de tarjeta, no se te pueden robar. Este principio está en el corazón de la reducción del alcance de PCI DSS
• Cifra todo: los datos en reposo y en tránsito deben cifrarse con algoritmos actuales y robustos
• Controla el acceso de forma estricta: solo las personas que necesitan acceso a los datos de pago deberían tenerlo, y ese acceso debe registrarse y monitorizarse
• Mantén los sistemas parcheados: muchas brechas explotan vulnerabilidades conocidas para las que ya existen parches
• Saca los datos de tarjeta del canal de voz: en entornos de pago telefónico, usar enmascaramiento DTMF garantiza que los datos de la tarjeta nunca se expongan a los agentes, las grabaciones o la red del centro de contacto
• Forma a tu personal: la formación periódica en concienciación de seguridad ayuda a los empleados a reconocer intentos de phishing y a entender su papel en la protección de los datos

Brechas de datos en centros de contacto

Los centros de contacto son entornos de alto riesgo para las brechas de datos. Combinan grandes plantillas manejando información sensible, altas tasas de rotación, múltiples sistemas tecnológicos y el reto inherente de asegurar las comunicaciones de voz. Cuando los agentes oyen al cliente decir los datos de su tarjeta, esa información existe en la forma más incontrolable posible: en la memoria del agente.

La forma más eficaz de eliminar este riesgo es asegurarse de que los datos de tarjeta no entren nunca en el entorno del centro de contacto. Tecnologías como el enmascaramiento DTMF lo consiguen encaminando los datos del pago directamente desde el teclado de quien llama al procesador de pagos, evitando al agente, la centralita y la infraestructura de grabación por completo.