La alarma que sonó fue la de facturación: el acceso de un proveedor que nadie vigilaba

01Lo esencial

• Un registro nacional con casi nueve millones de entradas se descargó con la cuenta de una empresa privada autorizada.
• Quien lo notó fue el área que cobra las consultas, no un sistema de seguridad: ese es el hueco de gobierno.
• La superficie de riesgo de un grupo es la suma de los accesos de sus proveedores, y casi nadie la tiene medida.

Respuesta corta: la mayor filtración de datos en la historia de un país nórdico no empezó con una intrusión sofisticada. Empezó en la cuenta de un tercero con permiso legítimo y una clave que cualquiera adivina. Lo que debería inquietar a un comité no es el truco, es el diseño: nadie vigilaba lo que ese tercero podía llevarse.

Parte del relato proviene del supuesto autor y las autoridades aún no lo confirman por completo. Aun así, el patrón es tan reconocible que vale la pena revisarlo como si fuera tuyo.

02Qué pasó, sin adornos

Alguien se llevó el contenido completo de un registro central: unas 8.8 millones de fichas con nombre, domicilio y número de identificación. Para dimensionarlo, el país tiene cerca de seis millones de habitantes. La diferencia existe porque el archivo conserva a personas que ya no viven y a quienes radican fuera.

La puerta no fue el registro, fue una compañía particular autorizada para consultarlo. Según el relato de quien se atribuye el hecho, bastó teclear 123456 en su cuenta. Desde ahí, la descarga fue cuestión de tiempo.

03Quién lo detectó: el área equivocada

No sonó ninguna alarma de seguridad. La rareza apareció al cerrar el mes: cada consulta al registro genera un cargo mínimo, y la cuenta de una sola firma sumaba un volumen que no cuadraba con su uso habitual.

Para cualquier directivo, esa es la frase del caso. Su control más eficaz fue contable, no técnico. Funcionó por accidente. Un grupo que dependa de ese tipo de accidentes está administrando suerte, no riesgo.

04Tres capas que fallaron a la vez

• Credencial: una clave que cualquiera adivina, protegiendo una cuenta con permiso de consulta.
• Verificación: ningún segundo paso para entrar con esa cuenta.
• Monitoreo: ninguna regla que frenara una descarga masiva o avisara de ella.

Cualquiera de las tres, bien resuelta, habría cambiado el desenlace. Juntas formaron un camino abierto. Y ninguna exige tecnología nueva: exigen que alguien se haga responsable de ellas.

05Por qué esto es un asunto de gobierno y no de TI

Los especialistas llaman a esto ruta por la cadena de proveeduría: en lugar de tocar la puerta principal, el acceso llega por un aliado con menos defensas. En un grupo corporativo ese tercero tiene muchas caras: agencias, plataformas de analítica, consultores, proveedores de logística, el despacho contable.

Cada uno tiene usuarios, y cada usuario tiene una contraseña. La suma de esos accesos es tu superficie de riesgo real. Si ninguna área puede decirte cuántos son, quién los pidió y cuándo se revisaron, la superficie crece sin que nadie la decida.

La seguridad de un grupo no la define su mejor control. La define la cuenta más descuidada de su proveedor más cómodo.

06El daño tiene cara concreta

Con esos datos en la mano, una llamada que finge venir de una autoridad o una clínica suena creíble, porque quien llama ya sabe quién eres. El costo para las personas es real y la reputación de la organización responsable se paga por años.

07Errores que conviene evitar

• Tolerar claves fáciles o repetidas en cuentas externas que ven información sensible.
• Pedir segundo factor al equipo propio y olvidarlo con los aliados externos.
• Dejar que el área de cobros sea el único detector de extracciones masivas.
• Mantener activas las cuentas de quien ya cerró su proyecto contigo.
• Presentar como hecho una versión que ninguna autoridad ha confirmado.

08Y en México

es común que varias personas de un equipo compartan una misma cuenta de un sistema, con una clave fácil de recordar, y que la agencia o el despacho externo conserve el acceso años después de terminar el trabajo. Para un grupo con varias marcas o sedes, eso se multiplica. Un inventario de cuentas externas y el cierre de las que ya no se usan es el primer ahorro de riesgo, y no cuesta tecnología.

09Checklist para aplicarlo

• Haz un listado de cuentas externas que ven información de clientes, cada una con un responsable interno.
• Pide a cada una el segundo factor activado, con evidencia.
• Reemplaza claves repetidas y adopta un gestor de contraseñas.
• Da de baja los accesos de proveedores con proyecto cerrado.
• Crea una alerta de volumen de consultas o descargas por cuenta.

10Qué pedir en la próxima junta

Tres números en una sola hoja: cuántas cuentas externas tienen acceso a datos de clientes, cuántas exigen un segundo paso de verificación y cuántas tienen alerta de descarga. Si alguno no se puede responder en la reunión, ya tienes el primer proyecto del trimestre.

11Para aplicar hoy

Pide hoy a cada aliado externo que ve información de tus clientes una confirmación escrita de claves únicas y segundo factor, y activa una alerta por descargas fuera de lo normal.