Qué es una filtración de datos

Una filtración de datos (Data Breach) se refiere al evento en el que información que debería estar protegida es accedida u obtenida por terceros no autorizados. Los tipos de datos filtrados son diversos, incluyendo información personal, credenciales de autenticación, datos financieros e información confidencial empresarial.

Las filtraciones de datos no solo ocurren por ataques externos, sino también por errores humanos internos o deficiencias de configuración. Según la investigación de IBM, el costo promedio de las filtraciones de datos tiende a aumentar cada año, causando a las empresas un triple impacto: pérdidas financieras, daño a la reputación y responsabilidad legal. El hecho de que las credenciales filtradas se utilicen para credential stuffing, expandiendo el daño en cadena, también es grave.

Principales causas y vías de ataque

Las causas de las filtraciones de datos se clasifican en tres grandes categorías.

Ataques externos

Phishing e ingeniería social: Engañar a empleados para robar credenciales e infiltrarse en los sistemas internos. Es la vía de intrusión inicial más común en las filtraciones de datos.
Explotación de vulnerabilidades: Infiltrarse aprovechando software sin parchear o errores de configuración. Se atacan inyecciones SQL en aplicaciones web o deficiencias de autenticación en API.
Ransomware: No solo cifra datos y exige rescate, sino que la "doble extorsión" se ha convertido en la norma, robando datos antes del cifrado y amenazando con publicarlos.

Factores internos

Errores de configuración: Errores en la configuración de permisos de acceso al almacenamiento en la nube, deficiencias en la configuración de publicación de bases de datos, etc. Son frecuentes los casos en que datos confidenciales se exponen involuntariamente en Internet.
Fraude interno: Extracción de datos por empleados que planean renunciar, acceso no autorizado por abuso de privilegios.

A través de terceros

Compromiso de subcontratistas y socios: Incluso si la seguridad propia es perfecta, si un subcontratista con el que se comparten datos es comprometido, se produce una filtración.

El tiempo de permanencia (Dwell Time) desde que el atacante se infiltra hasta que roba los datos es de varios meses en promedio, y es problemático que muchos casos no se detecten durante largos períodos.

Procedimientos de respuesta ante una filtración

Cuando se produce una filtración de datos, una respuesta rápida basada en el plan de respuesta a incidentes previene la expansión del daño.

Contención: Aislar los sistemas comprometidos de la red y cortar el acceso del atacante. Si se han filtrado credenciales, restablecer las contraseñas inmediatamente.
Identificación del alcance del impacto: Investigar qué datos se filtraron, durante qué período y en qué medida. Realizar análisis de registros e investigación forense.
Notificación: El GDPR exige la notificación a la autoridad supervisora dentro de las 72 horas. La ley japonesa de protección de datos personales también requiere informar a la Comisión de Protección de Información Personal y notificar a los afectados.
Recuperación: Identificar y reparar la vía de intrusión, restaurar los sistemas a un estado seguro. Realizar recuperación desde copias de seguridad, aplicación de parches y revisión de configuraciones.
Análisis posterior y prevención de recurrencia: Analizar la causa raíz e identificar puntos de mejora en las medidas de seguridad. Agregar reglas de monitoreo para detectar ataques similares.

Medidas preventivas y mitigación del daño

Aunque es difícil prevenir completamente las filtraciones de datos, es posible reducir la probabilidad de ocurrencia y minimizar el daño.

Medidas preventivas

Cifrado de datos: Cifrar los datos tanto en reposo (at rest) como en tránsito (in transit). Incluso si se produce una filtración, los datos cifrados pierden significativamente su valor para el atacante.
Implementación de autenticación de dos factores en toda la empresa: Incluso si la contraseña se filtra, sin el segundo factor de autenticación no se puede tomar el control de la cuenta. Especialmente obligatorio para cuentas de administrador.
Principio de privilegios mínimos: Otorgar solo los permisos de acceso mínimos necesarios a usuarios y sistemas para limitar el alcance del impacto en caso de compromiso.
Escaneo regular de vulnerabilidades y pruebas de penetración: Descubrir y corregir vulnerabilidades antes que los atacantes.

Medidas de mitigación

Clasificación y minimización de datos: Mantener los datos almacenados al mínimo necesario y aplicar niveles de protección según la confidencialidad. Eliminar de forma segura los datos que ya no son necesarios.
Segmentación de red: Dividir la red lógicamente para prevenir la propagación lateral a otros segmentos si uno es comprometido.
Agregación y monitoreo de registros: Implementar SIEM (Security Information and Event Management) para detectar patrones anómalos de acceso a datos en tiempo real.

Las filtraciones de datos deben considerarse no como una cuestión de "si ocurrirán" sino de "cuándo ocurrirán", y prepararse tanto en prevención como en respuesta es la postura básica de seguridad moderna.

Conceptos erróneos comunes

Las filtraciones de datos son solo un problema de grandes empresas: Las pymes, al tener inversiones de seguridad limitadas, son objetivos más fáciles de infiltrar para los atacantes. También hay casos en que se utilizan como punto de entrada a grandes empresas como parte de la cadena de suministro, y el riesgo existe independientemente del tamaño de la empresa.
Si se filtra mi contraseña, basta con cambiarla en mi cuenta: Si reutilizabas la contraseña filtrada en otros servicios, necesitas cambiarla en todos. Además, la información personal filtrada (nombre, dirección, fecha de nacimiento) se utiliza para superar preguntas de seguridad de restablecimiento de contraseña o mejorar la precisión del phishing, por lo que cambiar la contraseña solo no es suficiente.

Filtración de datos