La Secretaría de Anticorrupción y Buen Gobierno (SABG) de México informó que investiga la venta de bases de datos con información de 12,9 millones de personas a través de Telegram, ante una posible filtración atribuible a call centers.
Según la dependencia, durante un monitoreo se localizó una publicación de Telegram del 22 de septiembre en la que un usuario ofrece bases de datos con nombre completo, correo electrónico, números de celular y fijo, fecha de nacimiento, RFC, datos bancarios y domicilio.
De los más de 12 millones de registros, la Secretaría obtuvo una muestra de 13.000 pertenecientes a 13 bases de datos diferentes a nombre de varias personas morales. Algunas de ellas fueron: Amazon, American Express, Afirme, Banamex, Banco del Bajío, BBVA, Banorte, Banregio, HSBC, Inbursa, INVEX, Liverpool, Sam’s Club, Santander, Scotiabank, Sears, Suburbia, Banco Walmart, Credomatic, IXE, Sanborns, C&A y Soriana.
Al respecto, la autoridad encargada de prevenir, vigilar e investigar la corrupción señaló que analizará los datos obtenidos e iniciará investigaciones para determinar responsabilidades. Adicionalmente, reiteró su compromiso con la defensa de quienes confían su información a terceros.
Preocupación por comunicado de la Secretaría
La Asociación Mexicana de Internet (AIMX) reconoció que la Secretaría detectó a tiempo la posible exposición de datos y afirmó que comparte el objetivo de proteger a las personas titulares de los mismos. Asimismo, destacó que la identificación rápida de amenazas permite activar el protocolo necesario y reducir el tiempo de reacción de las empresas.
Sin embargo, también manifestó su preocupación por el comunicado emitido por la dependencia gubernamental. Para el organismo, el objetivo de la comunicación pública debe ser informar y prevenir riesgos para los titulares, sin generar una atribución anticipada de responsabilidad que posteriormente pudiera resultar incorrecta.
Su inquietud ante el anuncio de investigaciones de oficio y el señalamiento público de empresas cuando aún no se sabe el origen o la autenticidad de las bases de datos, puede generar un efecto de revictimización y producir un daño reputacional y comercial anticipado. Según la legislación, solo se puede verificar de oficio cuando es claro que hubo una violación a la ley, lo que no se acredita por completo en este caso.
Además, AIMX señaló que el hecho de que cada publicación criminal derive en una verificación y una eventual multa desalienta a las empresas de compartir información de estos incidentes, que es justo lo que se necesita para combatirlos de forma oportuna.
De acuerdo con la Asociación, aunque la SABG puede verificar el cumplimiento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, la autoridad competente para investigar la venta de información en Telegram es el Ministerio Público.
Por lo que la difusión de información sobre este tipo de incidentes puede alertar al infractor y darle tiempo para eliminar publicaciones, cambiar de canal o destruir evidencia, debilitar el valor probatorio de los indicios digitales y aumentar la demanda de los datos en el mercado ilícito al darles una validación oficial.
A esto se suma el riesgo de seguridad que implica que la autoridad tenga una muestra con información de miles de personas, la cual requiere las mismas salvaguardas que cualquier base de datos bajo su responsabilidad.
Medidas para investigar
Como parte de su posicionamiento, la Asociación propuso seis medidas para dar con los responsables sin debilitar el debido proceso, la investigación de los delitos ni la confianza en la economía digital.
La primera sugerencia es que cualquier indicio que detecte se comunique primero a la organización a través de un enlace designado previamente para que, dentro de un plazo establecido, haga la verificación correspondiente e informe a las personas titulares.
También se propone que el incidente se denuncie al Ministerio Público y a la policía cibernética antes de cualquier difusión pública, y que sean las autoridades quienes decidan el momento pertinente para hacerlo, acompañado de recomendaciones útiles, siempre reservándose la identificación del responsable hasta tener una resolución.
La AIMX plantea que exista un espacio de trabajo donde la SABG, autoridades de seguridad, industria, academia y sociedad civil compartan inteligencia de amenazas, protocolos y capacitaciones.
Además, proponen incentivos para que la industria informe voluntariamente de incidentes de seguridad, coopere activamente, notifique a los titulares, implemente programas de protección de datos y adopte medidas correctivas.
Por último, sugiere que las autoridades establezcan un protocolo para la preservación, manejo y transferencia de evidencia digital obtenida en monitoreos que garantice la seguridad de los datos personales y de la cadena de custodia.
Finalmente, la AIMX destacó que las empresas que detecten, contengan y reporten incidentes deben encontrar en las autoridades un aliado, ya que un entorno que castigue la transparencia puede desalentar la colaboración y dejar desprotegidas a las personas. Desde su perspectiva, la protección de los datos personales es una responsabilidad compartida.
