Qué significa realmente una notificación de brecha

Todos los estados de Estados Unidos, junto con el Distrito de Columbia, Guam, Puerto Rico y las Islas Vírgenes de Estados Unidos, tienen una ley que obliga a las organizaciones a avisar a las personas cuando su información personal está involucrada en una brecha de seguridad. Algunos sectores tienen además sus propias normas federales. La carta es una obligación legal, no una cortesía, y se activa según lo que la organización cree que fue sustraído.

Las cartas se parecen porque las redactan el mismo puñado de despachos de abogados y aseguradoras. También están redactadas de forma defensiva, y por eso el texto se llena de salvedades.

"Puede que se haya visto afectado" y "acceso no autorizado a ciertos sistemas" son formas prudentes de decirlo, no una afirmación de que no pasó nada. Una empresa a menudo no puede demostrar qué registros copió realmente un intruso. Cuando una carta menciona una categoría de datos, la lectura segura es que tu registro estaba en el conjunto al que se pudo acceder.

El momento es lo otro que la carta no deja claro. El lapso entre la intrusión y la notificación suele ser de meses, porque la investigación y la revisión legal tardan eso. La notificación llega mucho después de cualquier ventana en la que podrías haber evitado la exposición.

"Dark web" aparece en muchas de estas cartas. Significa que se encontraron datos ofrecidos o negociados en algún lugar ilícito. No significa que tu identidad se haya usado, y sí significa que alguien tiene una lista con tus datos, que es lo que eleva el riesgo de phishing dirigido.

Las cartas de brecha son un disfraz favorito del phishing, porque llegan cuando ya estás angustiado y ya esperas malas noticias.

No uses los enlaces ni los números de teléfono impresos en la carta. Abre el sitio web de la empresa por tu cuenta desde una búsqueda o desde el historial de tu navegador, y usa el número de atención al cliente que aparece en un estado de cuenta, una factura o una tarjeta que ya tengas. Si la brecha es real, la empresa tendrá la misma información en su propio sitio. Si es un intento de phishing, ahí termina el rastro.

Comprueba si el dominio del remitente corresponde a la empresa y no a uno parecido, y desconfía de cualquier carta que te pida confirmar una contraseña, un número de tarjeta o un código de un solo uso para "completar" la notificación.

Determina qué había en el conjunto que describe la carta y luego actúa sobre eso y nada más. Hacerlo todo no es mejor que hacer lo correcto, y consume la atención que vas a necesitar después.

Contraseñas: cambia la contraseña de esa cuenta y luego cámbiala en cualquier lugar donde la hayas reutilizado. La reutilización es lo que convierte una cuenta comprometida en diez.

Números de tarjeta o de cuenta bancaria: vigila la cuenta y cuenta con que el emisor vuelva a emitir la tarjeta. Si un número de tarjeta estaba en el conjunto, está comprometido, se haya usado ya o no.

Números de seguro social o identificadores fiscales: este es el caso que justifica un congelamiento de crédito y un PIN de protección de identidad fiscal, porque esas son las dos puertas que un identificador robado se usa más a menudo para abrir.

Documentos de identidad oficiales: puede que tengas que pedir orientación a la entidad emisora, porque esos documentos pueden usarse para suplantarte de formas que la vigilancia de crédito nunca verá.

Registros de salud: revisa los estados de beneficios que te envía tu aseguradora. El fraude contra un plan médico aparece ahí primero.

Solo datos de contacto: el riesgo es phishing, no financiero. Cuenta con mensajes dirigidos que mencionen la brecha y trata con recelo cualquier contacto no solicitado.

Casi todas las cartas de brecha ofrecen un año de vigilancia de crédito gratuita, y vale la pena aceptarla, pero conviene entender qué aceptaste. La vigilancia observa tus informes y te avisa después de que aparezca algo en ellos. Es detección.

Un congelamiento de crédito es prevención. Impide que los prestamistas nuevos consulten tu expediente, de modo que no se puede abrir una cuenta a tu nombre mientras el congelamiento esté vigente. Es gratuito por ley federal, toma minutos y es la acción más contundente siempre que se haya expuesto un número de seguro social o un identificador oficial.

Si no tienes claro cuál de las dos corresponde a la situación, coloca el congelamiento y conserva la vigilancia. Congelar un expediente no te impide usar el crédito que ya tienes ni afecta tu puntaje de crédito.

Una vez que hayas verificado que la carta es auténtica, sigue estos pasos en orden. Todo el proceso toma una tarde.

Una consulta de brechas y exposición responde bien a una pregunta concreta: qué registros que contienen este identificador están en circulación y de qué fuente viene cada registro. Eso sirve para priorizar, porque te dice si la carta que recibiste es el único lugar donde aparece tu dirección.

No puede decirte si alguien ha usado tus datos, y ningún servicio legítimo puede hacerlo. El uso se refleja en tus cuentas, tu expediente de crédito y tus registros fiscales, y ahí es donde deberías mirar después.