Cuando las organizaciones piensan en una filtración de datos, la atención suele centrarse en los atacantes que aprovechan vulnerabilidades, roban credenciales u obtienen acceso a una red. El reciente incidente de Revolut pone de relieve otra vía: convencer a una organización para que facilite información mediante una solicitud aparentemente legítima.
Según los informes, un tercero no autorizado obtuvo información de los clientes enviando solicitudes fraudulentas desde una dirección de correo electrónico asociada a un dominio real de un organismo público. Revolut afirmó que sus sistemas y los fondos de los clientes no se vieron afectados. Las notificaciones a los clientes descritas en el informe indicaban que, entre la información expuesta, se encontraban documentos de identidad, selfies de verificación y registros financieros.
El incidente ilustra por qué la protección de datos y la ciberseguridad no pueden tratarse como cuestiones totalmente independientes. La tecnología puede estar funcionando exactamente como se pretende. La vulnerabilidad puede seguir residiendo en la decisión que toma alguien cuando una solicitud parece legítima.
La aparente autoridad nunca debe eliminar la necesidad de una verificación independiente. Las solicitudes de información sensible merecen un escrutinio minucioso, incluso cuando parecen provenir de una agencia gubernamental, un organismo regulador o un tercero conocido, tal y como destacó nuestro director técnico, Richard Ford, ensus comentarios a Sync NI.
Una dirección de correo electrónico creíble es solo un dato más. No determina si la persona que la utiliza está autorizada a recibir determinados registros, si la finalidad es legítima o si la cantidad de información solicitada es adecuada.
La información pública no ofrece suficientes detalles para evaluar cada paso del proceso interno de Revolut. No obstante, las organizaciones pueden aprovechar este incidente para examinar sus propios procedimientos. Si mañana llegara una solicitud que pareciera oficial, ¿qué ocurriría antes de que alguien facilitara información de los clientes? ¿Serían las comprobaciones claras y coherentes, o dependerían de que una persona decidiera que algo no le cuadraba?
Esa distinción es importante porque las solicitudes convincentes están diseñadas para no despertar sospechas.
Un empleado puede autenticarse de forma segura, abrir un archivo al que está autorizado a acceder y compartirlo mediante una plataforma autorizada, y aun así revelar información a la persona equivocada.
Los controles de acceso establecen lo que un empleado puede hacer dentro de un sistema. No determinan necesariamente si una acción empresarial concreta está justificada. Para ello se necesita contexto: el propósito de la solicitud, la autoridad del destinatario y la información necesaria para atenderla.
Aquí es donde los equipos de seguridad, protección de datos y operaciones necesitan un proceso compartido. Juntos, deben definir quién puede aprobar las divulgaciones, cómo se pueden compartir los registros sensibles y qué pruebas deben conservarse.
Una política que establezca que la información de los clientes debe protegerse tiene que traducirse en decisiones prácticas y controles del sistema. De lo contrario, los empleados se ven obligados a interpretar el requisito mientras gestionan una bandeja de entrada repleta de solicitudes que compiten entre sí.
Los procedimientos de verificación deben abarcar tanto las solicitudes de registros sensibles como las transacciones financieras. Una fuente aparentemente fiable no debe ser suficiente para autorizar una divulgación.
En la práctica, la verificación independiente implica utilizar una vía de contacto establecida al margen del mensaje recibido. Responder al mismo correo electrónico o llamar a un número facilitado en él no constituye una comprobación independiente.
El proceso debe dar respuesta a varias preguntas:
Las organizaciones también deben hacer visible el resultado de esas comprobaciones a la persona que divulga los datos. Registrar una autorización, su alcance y el destinatario verificado ayuda a evitar que una solicitud inicialmente válida derive en una divulgación inadecuada.
Los atacantes pueden utilizar la autoridad, la urgencia y el contexto relevante para que las solicitudes resulten convincentes. La formación en materia de concienciación debe ayudar a los empleados a reconocer esas presiones y a cuestionarlas, especialmente cuando un mensaje parece encajar en una relación comercial ya existente.
Un ejercicio útil consiste en analizar una solicitud de divulgación realista con los equipos que se encargarían de gestionarla. ¿A quién se le remitiría? ¿Quién la evaluaría? ¿Qué ocurre si la persona encargada de dar la aprobación habitual no está disponible? ¿Puede un empleado poner en pausa la solicitud sin que se le reproche por retrasar una respuesta?
Esos debates pueden poner de manifiesto puntos débiles que una política escrita pasa por alto. Además, brindan al personal la oportunidad de practicar la toma de decisiones antes de enfrentarse a ellas bajo presión.
La responsabilidad no puede recaer exclusivamente en la persona que lee el mensaje. Los responsables deben facilitar la verificación, mientras que los flujos de trabajo deben hacer que los controles sean fáciles de realizar y difíciles de eludir. Una aprobación adicional para las divulgaciones sensibles, las restricciones a las exportaciones masivas y la supervisión de los intercambios inusuales pueden proporcionar una protección adicional.
La información personal robada puede conservar su valor mucho tiempo después de la divulgación original, lo que facilita el fraude y da lugar a intentos de phishing cada vez más convincentes. Los datos obtenidos en un incidente pueden aportar a un intento posterior la credibilidad suficiente para persuadir a alguien de que comparta más información.
Por eso es importante el alcance de cualquier divulgación. Ni siquiera una solicitud verificada debería dar lugar automáticamente a que se comparta un expediente completo del cliente. Las organizaciones deben establecer con precisión qué se necesita y limitar la divulgación en consecuencia.
La planificación ante incidentes también debe involucrar a los equipos de seguridad y de protección de datos desde el principio. Los empleados necesitan una vía clara para notificar los incidentes, mientras que los encargados de la investigación deben determinar qué se ha compartido, con quién y si se pueden evitar nuevas divulgaciones.
Integrity360 aborda la ciberseguridad desde el punto de vista de las personas, los procesos y la tecnología, ya que la protección de la información depende de que los tres funcionen conjuntamente.
La lección práctica consiste en examinar el momento en el que alguien decide confiar en una solicitud. Una autenticación sólida y unos sistemas seguros siguen siendo esenciales, pero deben ir acompañados de vías de aprobación claras, una verificación proporcionada y empleados que se sientan capaces de plantear preguntas.
Las organizaciones deben poder explicar por qué se facilitó la información, quién lo autorizó y cómo se verificó al destinatario. Incorporar esos controles al trabajo diario aúna la protección de datos y la ciberseguridad allí donde realmente importa: antes de que la información sensible salga de la organización.
Póngase en contacto con Integrity360 para reforzar su estrategia de protección de datos sensibles y gestión del riesgo de ingeniería social.