Qué hacer cuando una empresa informa una brecha de datos, según ESET

Pantalla de computador con código, brecha de datos y protección de la información personal

Las brechas de datos reportadas en Estados Unidos llegaron a un máximo histórico en 2025, con más de 3.300 incidentes y cerca de 295 millones de avisos enviados a las víctimas. Solo el 24% de esas notificaciones explicó cómo ocurrió el ataque, y ESET Latinoamérica advierte que esa falta de detalle deja a las personas sin saber qué medidas tomar.

La cifra proviene del informe anual del Identity Theft Resource Center y es la proporción más baja que ha registrado esa organización. Para la compañía de seguridad informática, la tendencia es una mala noticia para consumidores, empresas y autoridades, porque sin información sobre el incidente es difícil medir el riesgo real o evitar que algo similar vuelva a ocurrir.

Rodrigo Alvarez, investigador de Seguridad Informática de ESET Latinoamérica, explica por qué muchas organizaciones comunican poco.

Existen muchos motivos por los que una organización afectada por una brecha puede mostrarse reacia, o simplemente no estar en condiciones de compartir todos los detalles de un incidente. Los equipos de comunicación de crisis pueden querer informar cuanto antes a los clientes una vez que la noticia sale a la luz, para proteger la reputación de la organización y evitar especulaciones perjudiciales. Sin embargo, es posible que todavía no conozcan el panorama completo.

Por qué las notificaciones llegan incompletas

Determinar qué datos fueron comprometidos y de qué manera puede tardar semanas o incluso meses, sobre todo cuando se trata de grandes volúmenes de información. A eso se suma que revelar demasiado podría ayudar a otros delincuentes, por ejemplo al exponer el camino que usó el atacante o las debilidades de la empresa, o incluso al propio atacante si sigue dentro de la red. También pesan razones financieras, porque compartir demasiada información puede afectar el valor de las acciones, la reputación o la ventaja competitiva de la compañía.

Cómo leer el lenguaje de una notificación

Las palabras que usan estos avisos pueden confundir. Que los datos hayan sido «accedidos» no significa necesariamente que fueran robados o extraídos. Que la empresa no haya encontrado «evidencia de uso indebido» no garantiza que no lo haya habido. Y un mensaje que dice «podrías haber sido afectado» no confirma que tus datos estén entre los comprometidos, aunque sí es una señal para actuar con cautela.

Qué preguntar a la empresa afectada

Antes de cualquier otra cosa, ESET recomienda contactar a la organización por sus canales oficiales y verificar la información por cuenta propia, sin responder ni hacer clic en la notificación recibida, porque podría ser la continuación de una estafa. Una vez confirmado que el aviso es legítimo, conviene pedir los detalles que falten.

Maridaje profesional de cerveza y marihuana. La ciencia sensorial para el sommelier moderno

Comprar en Amazon

Si los datos solo fueron accedidos o efectivamente extraídos. Lo prudente es asumir el peor escenario hasta que se confirme lo contrario.
Qué datos fueron comprometidos, porque de eso dependen las medidas, como cambiar contraseñas, avisar al banco o reemplazar tarjetas.
Cuándo ocurrió el incidente y cuánto duró, para revisar actividad sospechosa en las cuentas de ese período.
Qué recomendaciones específicas está entregando la organización.

Qué hacer según el tipo de dato expuesto

Si se filtraron correo, dirección, nombre o teléfono, mantente alerta ante correos, mensajes o llamadas de phishing, y no hagas clic en enlaces ni compartas información sin verificar quién te contacta.
Si se expusieron datos médicos o de tu cuenta de cliente, espera intentos de phishing más personalizados, que usan esa información para parecer creíbles.
Si se filtraron usuarios y contraseñas, cambia de inmediato la clave de esa cuenta y de cualquier otra donde la hayas reutilizado, y activa la autenticación multifactor.
Si se expusieron datos bancarios o de tarjetas, avisa al banco, pide el reemplazo de la tarjeta si corresponde y revisa tus movimientos.
Si se filtraron documentos de identidad, como cédula, pasaporte o licencia de conducir, sigue las indicaciones de la entidad que los emitió, que puede incluir pedir un reemplazo o reportar un posible mal uso.

Cuando quedan expuestos datos financieros o de identidad, ESET aconseja revisar periódicamente las cuentas bancarias y tarjetas, activar alertas de transacciones, consultar el historial crediticio y reportar cualquier actividad fraudulenta a las autoridades. Muchas empresas afectadas ofrecen además servicios gratuitos de monitoreo durante un tiempo, aunque su disponibilidad varía según el país. Si quieres reforzar tus cuentas, revisa cuándo conviene cambiar las contraseñas después de una filtración y qué exige la nueva ley de protección de datos a quienes guardan información de clientes.

A medida que aumentan las organizaciones con las que compartimos nuestros datos y los atacantes perfeccionan sus técnicas para comprometerlas, las probabilidades de recibir una notificación de brecha de datos seguirán creciendo. Pero eso no significa que deba convertirse en una catástrofe. Mantenerse alerta e informado sigue siendo una de las mejores formas de reducir el riesgo de sufrir fraudes posteriores.

Preguntas frecuentes

1. ¿Qué es lo primero que debo hacer si recibo un aviso de brecha de datos?

Contactar a la empresa por sus canales oficiales para confirmar que el aviso es real, sin responder ni hacer clic en el mensaje recibido, porque podría ser parte de una estafa.

2. ¿Que mis datos hayan sido accedidos significa que me los robaron?

No necesariamente. Accedidos no equivale a extraídos, pero ESET recomienda asumir el peor escenario hasta que la empresa confirme lo contrario.

3. ¿Qué hago si se filtró mi contraseña?

Cambiarla de inmediato en esa cuenta y en cualquier otra donde la hayas reutilizado, y activar la autenticación multifactor.

4. ¿Por qué las empresas entregan poca información sobre una brecha?

Porque determinar el alcance puede tardar semanas o meses, porque revelar detalles podría ayudar a otros atacantes y por el impacto en la reputación y el valor de la compañía.