ESET Latinoamérica advirtió que las notificaciones de brechas de datos son cada vez más ambiguas: solo el 24% de los avisos en EE. UU. durante 2025 detalló el vector de ataque.
Ante el incremento global en filtraciones corporativas de información y la tendencia creciente de las empresas a emitir avisos con escasa claridad técnica —donde apenas un 24% de las notificaciones públicas en 2025 reveló el vector de vulnerabilidad—, la compañía de seguridad informática ESET Latinoamérica publicó una guía para orientar a los consumidores sobre las acciones inmediatas a seguir tras un incidente de seguridad. Rodrigo Álvarez, especialista de la entidad, explicó que las organizaciones suelen retener detalles por motivos legales, reputacionales o de peritaje forense, por lo que instó a los usuarios a no hacer clic en enlaces sospechosos, corroborar las alertas por medios oficiales de la empresa, solicitar información sobre si hubo extracción efectiva de archivos y activar protocolos urgentes que incluyan renovación de contraseñas, encendido de autenticación de dos pasos (MFA/2FA) y fiscalización de cuentas bancarias ante posibles fraudes derivados.
En una economía digitalizada donde los usuarios comparten de forma cotidiana credenciales bancarias, historiales médicos y datos de filiación con múltiples plataformas y servicios, las filtraciones masivas de información se han convertido en un riesgo permanente para consumidores y empresas. Sin embargo, el problema no radica únicamente en la frecuencia de los ciberataques, sino en la ambigüedad con la que las organizaciones afectadas comunican estos incidentes. De acuerdo con la firma de detección proactiva de amenazas ESET Latinoamérica, las notificaciones enviadas a las víctimas proporcionan cada vez menos detalles precisos, una omisión que limita la capacidad de los ciudadanos para evaluar su exposición real y aplicar medidas preventivas oportunas.
El fenómeno alcanza dimensiones críticas a nivel internacional. Durante 2025 se reportaron más de 3.300 incidentes públicos de brechas de datos en Estados Unidos, desencadenando cerca de 295 millones de notificaciones a usuarios afectados; no obstante, apenas el 24% de esos avisos incluyó explicaciones sobre el vector de ataque, marcando la tasa de transparencia técnica más baja registrada hasta la fecha.
El lenguaje corporativo frente al incidente: Por qué se omiten detalles 🏢🔍⚖️
Las alertas emitidas por los comités de manejo de crisis suelen recurrir a términos vagos que confunden al usuario común, como indicar que los datos fueron «accedidos» (lo cual no confirma ni descarta si existió extracción efectiva) o que «no se encontró evidencia de uso indebido», fórmula legal que no garantiza la inocuidad del evento.
Las razones detrás de estas comunicaciones incompletas responden a múltiples factores:
- Tiempos de peritaje forense: Determinar el alcance exacto de una fuga en bases de datos corporativas masivas puede tomar semanas o meses de auditoría técnica.
- Seguridad defensiva: Revelar de inmediato la vulnerabilidad explotada o el vector de entrada podría alertar a otros ciberdelincuentes o facilitar el accionar del atacante si aún conserva persistencia en los servidores.
- Mitigación reputacional y de mercado: Las compañías buscan contener especulaciones tempranas que castiguen el valor de sus acciones bursátiles o su credibilidad comercial ante los clientes.
«Existen muchos motivos por los que una organización afectada por una brecha puede mostrarse reacia, o simplemente no estar en condiciones, de compartir todos los detalles de un incidente. Los equipos de comunicación de crisis pueden querer informar cuanto antes a los clientes una vez que la noticia sale a la luz, para proteger la reputación de la organización y evitar especulaciones perjudiciales. Sin embargo, es posible que todavía no conozcan el panorama completo» explicó Rodrigo Álvarez, investigador de seguridad informática de ESET Latinoamérica.
Información crítica que toda persona usuaria debe verificar 📋🔎🛡️
Frente a la sospecha o el aviso formal de una filtración, ESET recalca que la primera regla consiste en no hacer clic en enlaces dentro del correo o mensaje recibido, ya que los ciberdelincuentes suelen suplantar alertas de crisis para ejecutar campañas secundarias de phishing. La verificación debe hacerse siempre contactando de manera independiente a la compañía mediante sus canales de atención oficiales.
Una vez confirmada la veracidad del incidente, resulta imperativo indagar cuatro aspectos esenciales:
- Nivel de compromiso: Si la información fue únicamente visualizada o efectivamente descargada y extraída (asumiendo con prudencia el peor escenario preventivo).
- Naturaleza de los registros expuestos: Conocer qué campos específicos fueron vulnerados (contraseñas, correos, registros de compra o números de cuenta).
- Cronología del ataque: Fecha exacta en que se vulneró el sistema y tiempo durante el cual estuvo abierta la brecha, lo que permite rastrear consumos o accesos anómalos en ese período.
- Recomendaciones operativas: Qué protocolos técnicos concretos sugiere la organización implementar a sus clientes.
Protocolo de contención según el tipo de dato comprometido 🔐💳👤
Las acciones reactivas deben ajustarse a la sensibilidad del activo digital que haya quedado al descubierto:
- Contraseñas y usuarios: Modificar inmediatamente la clave en la cuenta siniestrada y en todas aquellas plataformas donde se haya replicado la misma combinación. Activar de inmediato la autenticación multifactor o en dos pasos (MFA / 2FA).
- Información bancaria y tarjetas de crédito: Notificar de inmediato a la entidad financiera emisora para bloquear y reponer los plásticos, activar alertas transaccionales en tiempo real y vigilar estados de cuenta.
- Datos de identidad y documentos oficiales (cédulas o pasaportes): Seguir las instrucciones de las entidades gubernamentales emisoras ante posibles suplantaciones, reportar pérdidas y consultar periódicamente el historial crediticio en burós o centrales de riesgo autorizadas.
- Datos personales de contacto (teléfono, correo o dirección): Extremar la guardia ante llamadas telefónicas sospechosas, mensajes SMS engañosos (smishing) o correos que utilicen datos reales para ganarse la confianza de la víctima.
«A medida que aumentan las organizaciones con las que compartimos nuestros datos y los atacantes perfeccionan sus técnicas para comprometerlas, las probabilidades de recibir una notificación de brecha de datos seguirán creciendo. Pero eso no significa que deba convertirse en una catástrofe. Mantenerse alerta e informado sigue siendo una de las mejores formas de reducir el riesgo de sufrir fraudes posteriores» concluyó Rodrigo Álvarez.
Comprender los alcances de la seguridad informática y exigir transparencia a las entidades que custodian nuestros registros fortalece la resiliencia ciudadana frente al cibercrimen. Fomentar la prudencia operativa, la higiene de contraseñas y la supervisión activa de las finanzas personales nutre un estilo de vida digital seguro, informado, metódico y profundamente comprometido con la privacidad y la protección de datos en Costa Rica.
Para saber más sobre seguridad informática visite el portal corporativo de ESET o escuche Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a Spotify
Acerca de
ESET® proporciona seguridad digital de vanguardia para prevenir ataques antes de que ocurran. Al combinar el poder de la IA y la experiencia humana, ESET® se anticipa a las ciberamenazas conocidas y emergentes, asegurando empresas, infraestructuras críticas e individuos. Ya sea protección de endpoints, nube o dispositivos móviles, sus soluciones y servicios nativos de IA y basados en la nube son altamente efectivos y fáciles de usar. La tecnología de ESET incluye detección y respuesta sólidas, cifrado ultraseguro y autenticación multifactor. Con defensa en tiempo real las 24 horas, los 7 días de la semana y un sólido soporte local, mantiene a los usuarios seguros y a las empresas funcionando sin interrupciones. Un panorama digital en constante evolución exige un enfoque progresivo de la seguridad: ESET® está comprometido con una investigación de clase mundial y una potente inteligencia sobre amenazas, respaldada por centros de I+D y una sólida red global de socios. Para obtener más información, visite https://www.eset.com/latam o síganos en LinkedIn, Facebook y Twitter.
