Filtración de datos en la CTS de Estrasburgo: unas 230.000 cuentas de clientes afectadas. Qué debe hacer la empresa, qué esperar tras una filtración y cómo evitar el phishing

Qué ocurrió

El 28 de octubre la Compagnie des transports strasbourgeois (CTS), que gestiona los tranvías y autobuses de Estrasburgo, anunció una filtración de datos. Según la empresa, se extrajeron datos de unas 230.000 cuentas de clientes mediante un uso ilícito de su sitio web, es decir, aproximadamente cuatro de cada diez de sus unas 586.000 cuentas.

Qué se sustrajo, según la CTS: apellido y nombre, fecha de nacimiento, dirección e identificadores de cuenta. La empresa afirma que los datos bancarios y las contraseñas no se encontraban entre ellos. La CTS indica que detuvo la extracción en cuanto la detectó, reforzó la seguridad de su sitio web, notificó el incidente a la CNIL, informó a los clientes afectados y tiene previsto presentar una denuncia. No se ha revelado cuándo tuvo lugar la intrusión ni cuánto tiempo duró.

La propia CTS advierte a los clientes de que desconfíen de los correos electrónicos que digan proceder de la CTS y soliciten cualquier información, en especial datos bancarios.

Por qué «sin datos bancarios» no significa «sin riesgo»

Un nombre, una fecha de nacimiento y una dirección no bastan por sí solos para vaciar una cuenta bancaria. Pero hacen más convincente un mensaje fraudulento: un correo que saluda a alguien por su nombre y menciona su dirección inspira más confianza. Por eso la CTS pide que se traten con sospecha los correos enviados en su nombre.

Qué exige la normativa a la empresa

Según la guía de la CNIL sobre el RGPD (RGPD en francés), una organización que sufre una violación de datos personales:

• debe notificarla a la CNIL a más tardar 72 horas después de tener conocimiento de ella;
• si el riesgo para las personas es alto, debe informar directamente a esas personas lo antes posible;
• debe explicar en ese mensaje, en términos claros, qué ocurrió, las posibles consecuencias, con quién ponerse en contacto (el DPO u otro contacto) y qué se ha hecho para limitar el daño y, cuando sea necesario, dar recomendaciones como cambiar las contraseñas.

Conviene recordar: un aviso de filtración, tal como lo describe la CNIL, explica y aconseja. No pide que se responda con el número de la tarjeta.

Qué pueden hacer los clientes de la CTS —y cualquier persona tras una filtración—

Recomendaciones de Cybermalveillance.gouv.fr y de la CNIL:

1. No hacer nada con los mensajes sospechosos. No pulsar en los enlaces, no abrir los archivos adjuntos, no responder. En caso de duda, ponerse en contacto uno mismo con la organización a través de un sitio web al que no se haya llegado desde el mensaje (idealmente desde un marcador propio).
2. Comprobar los enlaces y las direcciones web. Pasar el cursor sobre un enlace sin pulsarlo; comprobar la dirección del sitio: un solo carácter cambiado puede delatar una falsificación. Las organizaciones legítimas no piden datos bancarios ni contraseñas por correo electrónico ni por teléfono.
3. Contraseñas. La CNIL aconseja cambiar las contraseñas, empezando por los servicios más importantes, no reutilizar la misma contraseña en varios sitios y activar la autenticación multifactor cuando esté disponible.
4. Denunciar el fraude. Los correos sospechosos se envían a signal-spam.fr, los mensajes de texto sospechosos al 33700 y los sitios web falsos a phishing-initiative.fr.

Si ya se ha pulsado un enlace o se han entregado datos

Según Cybermalveillance.gouv.fr:

• si se facilitaron datos de la tarjeta o se observan cargos que no se reconocen, hacer inmediatamente una oposición (opposition) ante el banco;
• cambiar las contraseñas en el sitio afectado y en todos los lugares donde se usara la misma contraseña; comprobar la fecha del último inicio de sesión en la cuenta;
• conservar las pruebas, sobre todo el propio mensaje fraudulento;
• presentar una denuncia (plainte) en una comisaría o gendarmería, o por escrito ante el fiscal de la República; hay apoyo gratuito para víctimas en France Victimes, en el 116 006 (todos los días, de 9:00 a 19:00), y asesoramiento de Info Escroqueries en el 0 805 805 817 (gratuito, de lunes a viernes, de 9:00 a 18:30).

En los casos de suplantación de identidad (usurpation d'identité), la CNIL aconseja presentar una denuncia cuanto antes y, una vez confirmada la suplantación, solicitar a la CNIL una comprobación del registro de cuentas bancarias FICOBA.

Sobre la indemnización

La CNIL afirma claramente que no concede indemnizaciones: reclamar daños y perjuicios corresponde a los tribunales civiles.

En resumen

La filtración de la CTS no es motivo de pánico, pero sí de prestar más atención a los correos electrónicos y mensajes de texto durante las próximas semanas. Cualquier mensaje «de la CTS», «del banco» o «de un organismo público» que pida confirmar datos conviene comprobarlo a través del sitio web oficial, abierto de forma independiente.