El pasado jueves (28/01), el Procon de São Paulo envió una carta a la Comisaría General de Policía Civil del estado solicitando la apertura de una investigación para investigar la filtración de datos de aproximadamente 220 millones de brasileños. Hay sospechas de que la información fue extraída de Serasa Experian, pero la empresa lo niega. El caso será remitido a la División de Delitos Cibernéticos de la agencia policial.

Hace dos semanas fueron localizados en Internet archivos que contienen el nombre, CPF, fecha de nacimiento, fotografía, salario y más datos de ciudadanos brasileños. El descubrimiento fue hecho por laboratorio dfndr, un laboratorio especializado en seguridad digital de la startup PSafe, que informó el caso a Estadão. Los archivos estaban en Web Obscura, un sector de Internet no indexado por sitios de búsqueda como Google u otros, y por tanto, propenso a actividades ilegales.

El lunes (25/01), tras la noticia de la filtración de información, la Secretaría Nacional del Consumidor (Senacon) notificó a Serasa exigiendo explicaciones. La empresa tendrá 15 días para responder si reconoce que la filtración se produjo en su base de datos o en la de sus socios, durante cuánto tiempo estuvieron expuestos los datos, quién tuvo acceso a esa información y, si está en su base de datos, qué se hizo para solucionarlo. Como ya hemos comentado, Serasa niega ser el origen de la filtración.

Ampliación del caso

En foros de la Dark Web se encontraron archivos con datos importantes sobre ciudadanos brasileños, divididos en partes, una de las cuales era más completa, y fueron vendidos por delincuentes. Algunos de estos archivos terminaron en Internet y cualquiera que tuviera el enlace de descarga podía acceder a ellos.

Las cantidades de información pueden ser aterradoras y crear confusión, después de todo, la la filtración contiene datos de aproximadamente 220 millones de CPF, lo que supera la estimación de 212 millones de habitantes del país. Esto sucede porque los archivos también contenían datos de personas que ya fallecieron. Además, existen cifras del CNPJ vinculadas a los CPF y que contribuyen al volumen de datos filtrados.

Parte de la información filtrada era pública y puede consultarse en sitios web oficiales de agencias gubernamentales. Sin embargo, solo se podía acceder a gran parte de él a través del registro de empresas. Una de las hojas de cálculo que componen los archivos filtrados contiene la fuente de la información y, entre ellas, aparece Serasa.

De confirmarse la responsabilidad de Serasa en el caso, el Código de Protección al Consumidor prevé una multa de hasta R$ 10 millones. Ya el Ley General de Protección de Datos (LGPD) es aún más incisivo y evalúa el castigo en hasta R$ 50 millones, pero sólo podrá aplicarse en agosto de este año.

Ten cuidado

Aún no es posible evaluar el alcance de los daños causados ​​por esta fuga. Quizás esto sólo sea posible con el resultado de la investigación que debería comenzar a realizar la División de Delitos Cibernéticos de la Policía Civil de São Paulo. Sin embargo, es bueno tomar algunas precauciones al respecto.

Ya existen webs que afirman que el usuario puede realizar una consulta para saber si sus datos han sido filtrados, para ello le piden que introduzca sus datos. Esto es algo que no recomendamos, ya que es posible que esté entregando (o confirmando) su información a alguien que no conoce.

Además, si recibes un mensaje de una tienda o institución, ya sea por correo electrónico, WhatsApp u otro canal, mostrando tus datos, no te fíes de inmediato. Busque en el sitio web oficial de la empresa para verificar la información y simplemente ignórela si no es real. Si sospecha o se siente mal por el mensaje, comuníquese con los organismos oficiales para obtener ayuda.

Imagen: Matejmo/iStock