Yahoo
2013 0millones de cuentas
Robo de credenciales Lección: Cifrado robusto y rotación periódica de contraseñas.
Brechas de seguridad reales
Las mayores filtraciones de datos de la historia y las lecciones que toda empresa debería aprender.
Casos reales
Cuando la prevención falló
Estas son algunas de las brechas más graves registradas. En todas ellas, el origen fue evitable.
Marriott
2018 0millones de huéspedes
Intrusión persistente Lección: Monitorización continua: los atacantes pasaron 4 años sin ser detectados.
0millones de perfiles
Scraping masivo Lección: Limitar la exposición de datos y la extracción automatizada.
Equifax
2017 0millones de personas
Vulnerabilidad sin parchear Lección: La gestión de actualizaciones evita la mayoría de las brechas.
0millones de usuarios
Exposición de datos Lección: Revisar permisos de API y terceros con acceso a datos.
SEPE (España)
2021 Críticoservicios públicos
Ransomware Lección: Copias de seguridad y plan de respuesta ante incidentes.
Phone House (España)
2021 0millones de registros
Ransomware Lección: Segmentación de red y cifrado de datos sensibles.
Causas habituales
¿Por qué ocurren las brechas?
01
Contraseñas débiles o reutilizadas
El 80 % de las brechas implican credenciales comprometidas.
02
Software sin actualizar
Vulnerabilidades conocidas que un simple parche habría evitado.
03
Phishing e ingeniería social
El engaño al empleado sigue siendo la vía de entrada favorita.
04
Falta de cifrado
Datos sensibles almacenados o enviados sin protección.
05
Configuraciones erróneas
Bases de datos y servicios expuestos a internet por descuido.
06
Ausencia de copias de seguridad
Sin backups, un ransomware puede ser definitivo.
Nuestra especialidad
La gestión de una brecha de seguridad no es una broma
Sufrir un ataque no siempre es evitable. Gestionarlo mal, sí. La normativa obliga a evaluar el riesgo, notificar a la autoridad de control en 72 horas y comunicarlo a los afectados cuando el riesgo es alto. Improvisar esas horas sale caro, y se sanciona aparte del propio ataque.
Centros Comerciales Carrefour, S.A.
Resolución de la AEPD · Expediente EXP202305979 · Cinco brechas notificadas en 2023
- Art. 5.1.f) RGPD Falta de garantía de seguridad de los datos 2.000.000 €
- Art. 32 RGPD Medidas de seguridad insuficientes 1.000.000 €
- Art. 34 RGPD No comunicar la brecha a las personas afectadas 200.000 €
Sanción total 3.200.000 €
Doscientos mil euros de esa sanción no son por el ciberataque: son por no haber comunicado la brecha a las personas afectadas. La AEPD además le ordenó hacerlo en el plazo de un mes.
Leer la resolución completa de la AEPD PDF · Se abre en una pestaña nuevaQué hacemos en las primeras horas
- 01
Contención y registro
Frenamos la fuga y documentamos desde el minuto uno qué ha pasado, cuándo se detectó y a qué datos afecta.
- 02
Evaluación del riesgo
Valoramos el impacto sobre los derechos y libertades de las personas afectadas, que es lo que determina las obligaciones que se activan.
- 03
Notificación a la autoridad
Si procede, notificamos a la AEPD dentro del plazo de 72 horas, con el contenido y el detalle que exige el artículo 33.
- 04
Comunicación a los afectados
Cuando el riesgo es alto, redactamos y coordinamos la comunicación a los interesados en los términos del artículo 34.
- 05
Registro y medidas correctoras
Toda brecha se inscribe en el registro interno, con las medidas adoptadas. Ese registro es la primera prueba que le pedirá la Agencia.
¿Ya está en mitad de un incidente? Llámenos al 620 646 069.
Cómo le protegemos
Una brecha cuesta mucho más que prevenirla
El coste medio de una brecha grave supera los cuatro millones de euros, sin contar el daño reputacional. Una auditoría a tiempo cuesta una mínima fracción.
- Análisis de riesgos y de vulnerabilidades
- Medidas técnicas: cifrado, copias y control de accesos
- Protocolo de respuesta y notificación en 72 horas
- Formación continua frente a phishing e ingeniería social
No espere a sufrir una brecha
Evalúe hoy el nivel de seguridad de su empresa con una primera valoración gratuita.