La filtración de datos de Capital One destaca la importancia de la seguridad centrada en los datos
Capital One, el gigante de servicios financieros, fue objeto de un ataque que afectó a los datos personales de más de 106 millones de personas en Estados Unidos y Canadá. Al momento de escribir este blog, se realizó un arresto en relación con el ataque después de que, según informes, el atacante, Paige Thompson, se jactara de ello en línea.
La violación aparentemente incluyó información de identificación personal en forma de nombres, direcciones y números de teléfono de clientes y solicitantes de Capital One. Es importante destacar que, según Capital One, el pirata informático no obtuvo acceso a los números de cuentas de tarjetas de crédito.
A pesar de esto, se dice que la infracción es una de las mayores en la historia bancaria.
¿Quién se vio afectado por la infracción de Capital One?
En un comunicado publicado a principios de esta semana, Capital One comentó que la violación había afectado a alrededor de 100 millones de personas en los EE. UU. y a seis millones de personas en Canadá. La declaración también agrega que alrededor de 140.000 números de seguridad social y 80.000 números de cuentas bancarias se vieron afectados en los EE. UU., con aproximadamente un millón de números de seguro social de clientes de tarjetas de crédito Capital One comprometidos en Canadá.
Además de las formas básicas de PII, el hacker pudo obtener puntajes de crédito, límites, saldos, historial de pagos y detalles de contacto.
¿Qué podemos aprender de esta infracción?
Infracciones como esta sirven para resaltar la importancia de la seguridad centrada en los datos. Las actitudes hacia las violaciones de datos están cambiando rápidamente, debido en parte a la introducción de una legislación más estricta y moderna en forma de GDPR y CCPA. Las organizaciones ahora están comenzando a hacer de la seguridad de los datos una prioridad. Sin embargo, infracciones como ésta todavía ocurren y son casi imposibles de prevenir por completo. Entonces, ¿qué se puede hacer para mitigar los riesgos?
En muchos sentidos, la seguridad de los datos implica asumir responsabilidad. Con demasiada frecuencia vemos departamentos, organizaciones o individuos transfiriendo responsabilidades a otros. Los datos y la seguridad de los mismos, independientemente de dónde se almacenen, deben ser responsabilidad de la empresa que los posee. Debe asegurarse de contar con los controles, procesos, prácticas y soluciones de seguridad adecuados.
Los servicios en la nube han generado una mayor colaboración entre organizaciones, más comodidad y más riesgos para la seguridad de los datos. Las empresas en general parecen generar ahora más datos que nunca y tener un acceso más fácil a ellos. Si sus datos se encuentran en la nube, aún tiene la responsabilidad de protegerlos, no puede confiar en la seguridad del proveedor de servicios en la nube.
Esta infracción involucró a un interno malicioso que obtuvo acceso a una cuenta de servicio elevada a través de una vulnerabilidad en un firewall de aplicaciones web. Luego podían leer y copiar archivos y carpetas confidenciales. Sirve para recordarle a la gente la importancia de monitorear a sus usuarios, ya que las amenazas internas tienden a ser la fuente de infracciones más sofisticadas, más dañinas y más difíciles de detectar. Muchas empresas todavía tardan en adoptar soluciones que monitoreen el acceso no autorizado y detecten comportamientos anómalos de los usuarios. Esperemos que la filtración de Capital One ayude a cambiar estas actitudes.
Si su organización se viera afectada por una infracción como esta, ¿podría detectarla rápidamente y responder a ella? ¿Sabría exactamente qué datos estaban involucrados para poder notificar a las autoridades e individuos correctos?
De lo contrario, debería buscar una plataforma de seguridad de datos que pueda ayudar a automatizar gran parte de esto. Programe una demostración con uno de nuestros ingenieros hoy para obtener más información sobre cómo Lepide puede ayudarlo a detectar y responder a una violación de datos. Alternativamente, Lepide proporciona evaluaciones de riesgos gratuitas para ayudarlo a comprender las vulnerabilidades actuales en su seguridad y cómo mejorarlas.