Qué hacer si tus datos personales aparecen en una filtración

Te llega un aviso: un servicio donde tenías cuenta ha sufrido un ataque y sus datos han salido a la luz. La reacción habitual es el susto, pero hay una secuencia de pasos razonable que puedes seguir. Este artículo la resume a partir de una guía del Instituto Nacional de Ciberseguridad (INCIBE). No dice, ni puede decir, si tú estás o no afectado por una filtración concreta: eso depende de cada caso.

Qué es una filtración de datos

INCIBE explica que, en ocasiones, las defensas de una empresa caen y los atacantes obtienen acceso a toda o parte de la información que custodia. Después la publican en la red o la ponen a la venta en el mercado negro. Dicho de forma sencilla: tus datos quedan expuestos en internet, donde cualquiera puede acceder a ellos.

Las consecuencias pueden ser muy graves, pero dependen del tipo de información filtrada y de la protección adicional que tuviera. No es lo mismo que se filtre un número de teléfono que un correo secundario, ni que se filtren archivos de la nube si estaban cifrados.

Primer paso: mantén la calma y averigua qué se ha filtrado

Si te enteras de que un servicio donde estás registrado ha sido atacado, por ejemplo por los avisos de INCIBE, lo primero es mantener la calma. Puede que se trate de datos antiguos, como un domicilio donde ya no vives o un correo y una contraseña distintos de los que usas ahora.

Después, intenta averiguar cuáles de tus datos han podido quedar comprometidos. Cuando una filtración se hace pública, suele conocerse también el tipo de datos, bien porque lo han dado a conocer los atacantes, bien porque la empresa ha emitido un comunicado oficial.

Si no lo tienes claro, INCIBE aconseja considerar comprometido, por defecto, cualquier dato que hayas compartido con la empresa: usuario, contraseña, correo, datos de la tarjeta, teléfono o dirección.

Segundo paso: protege tu privacidad según el dato expuesto

INCIBE distingue qué hacer según la información afectada.

Contraseñas

Con ellas, los atacantes pueden entrar en la cuenta y en otras donde uses la misma contraseña, y por ejemplo hacerse pasar por ti en redes sociales o comprar online a tu cargo. Si tu contraseña se ha filtrado, es fundamental cambiarla, tanto en el servicio atacado como en otros donde hayas usado la misma clave o una parecida.

Correo electrónico o teléfono

Los atacantes suelen usar estos datos para ataques personalizados de ingeniería social, como una falsa llamada de tu banco que cita la información filtrada para ganar credibilidad. INCIBE recomienda registrarte, siempre que sea posible, con correos alternativos y números de teléfono temporales.

Nombre, apellidos, dirección o documentos de identidad

Esta información puede servir para suplantar tu identidad, por ejemplo dando de alta servicios a tu nombre, sobre todo si se han filtrado números de cuenta o imágenes del DNI. INCIBE sugiere hacer egosurfing cada cierto tiempo, es decir, buscar tu nombre y apellidos en internet para encontrar perfiles falsos o actividad sospechosa, y no usar esta información salvo que sea imprescindible.

Datos bancarios

Con ellos se podrían hacer compras y transferencias. Debes notificárselo a tu banco para que evalúe el riesgo y tome las medidas oportunas, como anular la tarjeta e identificar posibles actividades sospechosas.

Tercer paso: pide la información que la empresa guarda sobre ti

INCIBE recuerda que cualquier usuario tiene derecho a obtener toda la información que un servicio online tenga sobre él. Lo presenta como una práctica útil para tener control y visibilidad de cuánta información compartes.

Cuarto paso: acciones legales

Según INCIBE, puedes interponer una reclamación ante la Agencia Española de Protección de Datos (AEPD) si consideras que la empresa no ha actuado con la debida diligencia, lo que podría desembocar en una sanción administrativa. Si la AEPD llega a sancionar, la guía añade que podrías reclamar una indemnización por la vía civil, siempre que se pruebe que el daño es consecuencia de una mala praxis de la organización que custodiaba tus datos.

La guía de INCIBE no detalla el procedimiento de reclamación ni sus plazos.

Cómo reducir el riesgo a futuro

INCIBE propone tres pautas para protegerte y limitar el impacto de futuras filtraciones:

• Usar un gestor de contraseñas, que ayuda a crear claves robustas y únicas y puede avisarte si una de tus cuentas ha sido víctima de una filtración.
• Comprobar tus cuentas en Have I Been Pwned, una web que permite saber, a partir de tu correo, si alguna cuenta vinculada ha aparecido en una filtración. INCIBE recomienda revisarlo periódicamente, porque no siempre te enterarás de cuándo ha habido una.
• Usar correos alternativos, e incluso teléfonos y nombres ficticios, al registrarte en servicios de uso puntual.

La guía también menciona la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, un teléfono gratuito y confidencial, y la web de la OSI con recursos para proteger mejor tus cuentas.

Remove Me ofrece un análisis gratuito, sin crear cuenta: introduces tus datos y el servicio busca en resultados visibles públicamente en la web, en filtraciones de datos públicas conocidas (Have I Been Pwned) y en un registro de intermediarios de datos, y te muestra un informe que se desbloquea con un código de 6 cifras enviado por correo. Remove Me todavía no envía solicitudes de supresión en tu nombre.