Las filtraciones de datos personales se multiplican y afectan a servicios cotidianos: operadores de telecomunicaciones, mutualidades, plataformas de comercio en línea. Cada incidente expone millones de identificadores, direcciones postales, a veces IBAN. Proteger sus datos y su privacidad en línea no se limita a elegir una buena contraseña. La cuestión ahora es qué sucede después de una filtración, sobre las nuevas exigencias regulatorias y sobre los mecanismos que pocos usuarios activan realmente.
Reaccionar después de una filtración de datos: el recorrido en tres pasos que la CNIL formaliza
La mayoría de las guías de protección de datos en línea se centran en la prevención. Las recomendaciones recientes de la CNIL y de Cybermalveillance.gouv.fr añaden un aspecto raramente detallado: la gestión post-incidente.
El recorrido recomendado se organiza en tres etapas. Primero, conservar y analizar la notificación de violación recibida por correo electrónico o carta. Este mensaje precisa qué categorías de datos han sido expuestas. Luego, cambiar inmediatamente las contraseñas comprometidas y activar la autenticación de dos factores en las cuentas afectadas. Finalmente, vigilar activamente durante varias semanas las cuentas bancarias, las sesiones activas, las direcciones de recuperación y las redirecciones de correo.
Esta vigilancia debe extenderse por un período que puede llegar hasta los treinta días después del incidente. Los atacantes no siempre explotan los datos robados en las horas siguientes. Un retraso de varias semanas entre la filtración y el primer intento de fraude es común. Las secciones dedicadas a la seguridad en Geek Gazette detallan varios de estos mecanismos de vigilancia aplicables en el día a día.
Estafas post-filtración: estafas que explotan tus propios datos
Un fenómeno reciente complica la situación de las víctimas de violaciones de datos. Correos electrónicos fraudulentos ofrecen eliminar la información divulgada, a cambio de un procedimiento o un pago. Estos mensajes a veces utilizan datos realmente robados (dirección postal, IBAN) para parecer creíbles.
Algunos estafadores suplantan el número de teléfono de la CNIL para reforzar la ilusión. La CNIL recomienda explícitamente no responder a estas solicitudes, no hacer clic en ningún enlace y no enviar ningún justificante adicional.
Este tipo de estafa tiene como objetivo a personas ya vulnerables por una filtración. El reflejo natural, querer retomar el control de sus datos, se vuelve en contra de la víctima. Verificar sistemáticamente el remitente real de un correo electrónico y nunca actuar con prisa siguen siendo las dos protecciones más fiables frente a estos intentos.
Autenticación multifactor: lo que el endurecimiento regulatorio cambia en la práctica
La autenticación multifactor (MFA) figura desde hace tiempo en las recomendaciones de seguridad. Lo que cambia es el nivel de exigencia institucional. La CNIL refuerza sus controles sobre la activación de la MFA para los accesos remotos a grandes bases de datos. Esta exigencia no solo afecta a los empleados de una organización, sino también a los socios, subcontratistas y proveedores externos.
La ausencia de MFA puede ahora contribuir a la apertura de un procedimiento sancionador por parte de la CNIL. Para un particular, la consecuencia directa es simple: los servicios en línea que gestionan volúmenes importantes de datos personales están obligados a ofrecer la autenticación de dos factores. Activarla ya no es una opción de confort, es un eslabón esperado por el regulador.
En la práctica, coexisten tres formas de MFA:
- El código enviado por SMS, el más común pero vulnerable a ataques de intercambio de tarjeta SIM (SIM swapping)
- La aplicación de autenticación (TOTP), que genera un código temporal en el teléfono sin pasar por la red móvil
- La clave física de seguridad (FIDO2/WebAuthn), que ofrece la mayor resistencia al phishing ya que verifica el dominio del sitio
La elección depende del nivel de sensibilidad de la cuenta. Para el correo principal y los servicios bancarios, priorizar una aplicación TOTP o una clave física reduce significativamente el riesgo.
Protección de la privacidad de los menores: un marco regulatorio en transformación
La protección de los datos de los menores en línea se convierte en un eje regulatorio distinto, impulsado tanto por el RGPD como por la Ley de Servicios Digitales (DSA). Los parámetros de privacidad por defecto de las plataformas no son suficientes para proteger a un público que no siempre mide la magnitud de sus publicaciones. Los datos recopilados sobre los menores alimentan perfiles publicitarios desde la creación de la cuenta, a menudo sin que los padres lo sepan.
Para las familias, se destacan dos acciones concretas:
- Verificar los parámetros de privacidad de las cuentas existentes, en particular la visibilidad del perfil, el compartir ubicación y los permisos otorgados a aplicaciones de terceros
- Utilizar las herramientas de control parental integradas en los sistemas operativos móviles, que permiten restringir las descargas y limitar el tiempo de pantalla por aplicación
- Discutir regularmente con los menores sobre lo que publican, ya que ningún filtro técnico reemplaza la comprensión de los riesgos asociados con la difusión de información personal
La multiplicación de filtraciones de datos, las estafas dirigidas que de ellas derivan y el endurecimiento regulatorio dibujan un panorama donde la protección de la privacidad en línea exige una vigilancia continua. Activar la autenticación de dos factores, vigilar sus cuentas después de un incidente y verificar los parámetros de privacidad de los servicios utilizados constituyen una base mínima. El marco legal evoluciona, pero la responsabilidad diaria sigue siendo en gran medida individual.
