Filtración de datos de clientes de El Corte Inglés: OCU advierte del riesgo de phishing
Total, Banco Santander, Telefónica, Iberdrola, Decathlon, Ticketmaster, Repsol, Mutua Madrileña, Grupo Tendam… y ahora un proveedor de El Corte Inglés. En los últimos meses muchas grandes compañías han sido víctimas de ciberataques que han comprometido los datos personales de miles de clientes. Y es que las filtraciones masivas de información suelen anticipar todo tipo de estafas basadas en la suplantación de la identidad de estas mismas empresas (mediante phishing, smishing, spoofing…) para conseguir los datos bancarios del cliente y sus credenciales de seguridad para realizar así cargos a su costa, advierte la Organización de Consumidores y Usuarios (OCU).
El Corte Inglés ha comunicado personalmente por correo electrónico a sus clientes el ciberataque, admitiendo la filtración de datos identificativos y de su tarjeta de pago, aunque aclara que dicha información no permite a terceros operar ni realizar pagos con la tarjeta. Además, recuerda que no contactará con sus clientes para solicitar contraseñas, códigos de seguridad ni información de carácter personal. En este mismo sentido, OCU recomienda a los afectados estar atentos a posibles contactos de los ciberdelincuentes para conseguir sus credenciales de seguridad al objeto de autorizar pagos fraudulentos.
OCU además solicita OCU a El Corte Inglés que informe de la fecha del ciberataque a su proveedor, por si se hubieran producido ya intentos de phishing a sus clientes. La normativa de protección de datos obliga a comunicar las brechas de datos sin dilación indebida. Posponer esta obligación supone facilitar cualquier posible estafa.
En definitiva, OCU recuerda la correcta aplicación de la actual normativa de protección de datos sobre la comunicación de las filtraciones a los clientes, que deberá ser rápida y directa. Además, considera que deberían contemplarse sanciones adicionales a las empresas hackeadas si demostraran negligencia en la protección de los datos de sus clientes. Y, en todo caso, debería reconocerse una indemnización a los afectados proporcional al riesgo derivado de la apropiación ilegal de sus datos personales.
No obstante, OCU recuerda que ningún pago que realice un usuario bajo los efectos de un engaño podrá ser considerado como autorizado y por lo tanto deberá ser reembolsado de forma automática por la entidad bancaria.