Cómo leer un aviso de filtración: qué te dicen realmente el lenguaje del alcance, los hashes de contraseñas y los plazos
Un aviso de filtración es un género extraño: escrito por abogados, publicado bajo presión regulatoria y diseñado para confirmar lo mínimo posible. Cuando Marks & Spencer comunicó a sus clientes en mayo de 2025 que en el ataque, que ya llevaba semanas con su tienda online cerrada, se habían llevado algunos datos personales de clientes, la frase contenía más información de lo que sugiere su longitud. Todo aviso responde a tres preguntas: hasta dónde llegó la intrusión, qué tan utilizables son los datos robados y cuánto tiempo lleva la organización sabiéndolo.
El lenguaje del alcance: los verbos cuentan la historia
La palabra más informativa de cualquier aviso es el verbo. Una parte no autorizada pudo haber tenido acceso significa que la investigación aún no ha confirmado nada. Los datos fueron copiados o exfiltrados significa que el análisis forense observó movimiento. Los reguladores se cubren igual: la ley californiana sobre filtraciones se activa cuando la información personal sin cifrar fue adquirida, o existe una creencia razonable de que fue adquirida, por una persona no autorizada. Ese hueco entre la prueba y la creencia es donde vive la mayoría de los avisos.California exige notificar cuando la información personal sin cifrar "fue adquirida, o se cree razonablemente que fue adquirida, por una persona no autorizada" (Office of the Attorney General).El propio término filtración se estira más de lo que la gente asume. Have I Been Pwned lo define como un incidente en el que los datos quedan expuestos inadvertidamente en un sistema vulnerable, normalmente por controles de acceso insuficientes; no hace falta una intrusión. La misma FAQ separa las filtraciones no verificadas, donde los datos parecen genuinos pero no se pudo establecer su legitimidad, de las fabricadas, agregadas de otras fuentes. El alcance también crece. Zacks anunció en diciembre de 2022 una filtración que los primeros informes situaban en 820.000 clientes; para junio de 2023 había aparecido en un foro de hackers un conjunto de casi 9 millones de cuentas; en febrero de 2025 un ciberdelincuente publicó un conjunto de datos del que se reportaron 12 millones de registros. Ningún aviso de la empresa confirmó jamás las cifras mayores. Trate el primer número como un suelo, no como un hecho.
La frase sobre las contraseñas decide tu velocidad de reacción
Si hubo contraseñas involucradas, el formato de almacenamiento es el dial de urgencia. Los hashes protegidos con bcrypt, scrypt o Argon2 son deliberadamente lentos de adivinar; con factores de trabajo sensatos, la mayoría de los atacantes buscan otra cosa. MD5 sin sal, SHA-1 o una sola pasada de SHA-256 caen ante tarjetas gráficas corrientes a miles de millones de intentos por segundo. El texto plano ni siquiera hay que descifrarlo. El caso de Zacks es el de manual: hashes SHA-256 sin sal, pese a que la empresa había tranquilizado a los clientes diciendo que los atacantes accedieron a contraseñas cifradas, pero solo en formato cifrado. Cifrada es una palabra corporativa favorita. Con sal es la que te protege. Cuando un listado de filtración afirma texto plano, trátelo como el caso catastrófico mientras se pregunta si el propio listado se sostiene. El supuesto desfalco de 47,9 millones de registros de la aplicación coreana de reparto FLY, que cubrimos en agosto, afirmaba contraseñas en texto plano y claves de pago activas, y siguió sin verificar al publicarse. Sin verificar no significa inofensivo; significa no probado, y Have I Been Pwned es tajante: la ausencia de pruebas no es prueba de ausencia. En cualquier caso: dé por comprometida la contraseña y cámbiela dondequiera que la tuviera reutilizada.Lo que los datos de pago implican y lo que no
Hubo información de pago suena alarmante y a menudo no lo es. La frase cubre desde números completos de tarjeta con CVV, que son inmediatamente peligrosos, hasta dígitos enmascarados o truncados con los que no se puede cobrar nada. Los comercios con frecuencia jamás guardan el número completo; eso lo hacen los procesadores de pago. Cuando M&S confirmó que se habían llevado datos de clientes, dijo que los datos no incluían detalles de pago o de tarjeta utilizables, porque la empresa no los conserva en los sistemas afectados, ni contraseñas de cuenta tampoco. Leído al revés: se llevaron datos de contacto e historial de pedidos, combustible para phishing convincente más que para fraude con tarjetas. Ajuste la respuesta a la clase de dato, no a la palabra pago.Por qué el aviso llega semanas tarde
El desfase entre descubrimiento y divulgación es estructural, no necesariamente encubrimiento. La forense lleva tiempo, el alcance crece a medida que se leen los registros, y los reguladores ponen sus propios relojes encima. La ICO británica exige a las organizaciones notificarle lo antes posible y, cuando sea viable, dentro de las 72 horas desde que tienen noticias, con detalles posteriores. California exige presentar al estado una copia de muestra de cada aviso a clientes enviado a más de 500 residentes, lo que convierte esa base de datos en un archivo público de avisos reales. La guía de respuesta a incidentes del NIST, actualizada en abril de 2025, trata la contención, la preservación de evidencias y la recuperación coordinada como un proceso deliberadamente lento. M&S ya llevaba más de tres semanas con la tienda online cerrada cuando el 13 de mayo confirmó que se habían llevado datos de clientes. El silencio era la distancia entre la sospecha y algo que una empresa puede poner por escrito.Qué hacer primero y qué ignorar
La primera hora tras un aviso relevante importa más que el cupón de servicios de remediación. En orden:- Ponga una contraseña única en la cuenta afectada y cámbiela dondequiera que reutilizara la antigua.
- Fuerce el cierre de sesiones: un cambio de contraseña suele hacerlo, pero revoque inicios de sesión conectados y tokens de API donde se ofrezca.
- Active la autenticación multifactor mientras sigue con la sesión abierta.
- Siga la clase de dato: números completos de tarjeta significa estar atento a su banco, no al comercio; datos de contacto significa esperar phishing que cite su historial de pedidos.