ESET alerta sobre récord de brechas de datos y ofrece claves para protegerse

Las brechas de datos reportadas públicamente en Estados Unidos alcanzaron un máximo histórico en 2025, con más de 3,300 incidentes registrados y cerca de 295 millones de notificaciones enviadas a las personas afectadas. Sin embargo, solo el 24 % de los reportes incluyó detalles sobre el vector de ataque, la proporción más baja registrada por el organismo responsable del informe.

Ante este panorama, ESET Latinoamérica, compañía especializada en detección proactiva de amenazas, advierte que la falta de información dificulta que consumidores, empresas y responsables de políticas públicas comprendan el alcance de los riesgos, adopten medidas de protección eficaces y eviten incidentes similares en el futuro.

“Existen muchos motivos por los que una organización afectada por una brecha puede mostrarse reacia, o simplemente no estar en condiciones, de compartir todos los detalles de un incidente. Los equipos de comunicación de crisis pueden querer informar cuanto antes a los clientes una vez que la noticia sale a la luz, para proteger la reputación de la organización y evitar especulaciones perjudiciales. Sin embargo, es posible que todavía no conozcan el panorama completo”, comenta Rodrigo Álvarez, investigador de seguridad informática de ESET Latinoamérica.

Por qué las empresas no revelan todos los detalles

Determinar qué información fue comprometida y cómo ocurrió el ataque puede tomar semanas o incluso meses, especialmente cuando se trata de grandes volúmenes de datos.

ESET señala que una divulgación demasiado amplia también podría beneficiar a los ciberdelincuentes, al revelar las técnicas utilizadas para vulnerar los sistemas o las debilidades de las defensas de una organización. Si el atacante todavía permanece dentro de la red, la información publicada incluso podría alertarlo sobre las medidas de respuesta.

A estas dificultades se suman factores financieros y comerciales. La divulgación de determinados detalles puede afectar el valor de las acciones de una empresa, su reputación o su ventaja competitiva. Por estas razones, parte de la información puede mantenerse reservada temporalmente.

El lenguaje empleado en las notificaciones también puede generar confusión. Que una empresa indique que los datos fueron “accedidos” no significa necesariamente que hayan sido robados o extraídos. Del mismo modo, afirmar que no se encontró “evidencia de uso indebido” no garantiza que la información no haya sido utilizada de manera fraudulenta.

Cuando una notificación señala que una persona “podría haber sido afectada”, tampoco confirma que sus datos estén entre los comprometidos. Aun así, lo recomendable es actuar con cautela mientras se aclara el alcance del incidente.

Qué información deben conocer las personas afectadas

Ante una filtración de datos, ESET recomienda verificar cuatro aspectos fundamentales:

• Alcance del acceso: determinar si la información solo fue consultada o si también fue extraída. Hasta contar con confirmación, conviene actuar con prudencia y contemplar el escenario más desfavorable.
• Tipo de datos comprometidos: conocer si se trata de contraseñas, información bancaria, documentos de identidad u otros datos personales para definir las medidas de protección necesarias.
• Fecha y duración del incidente: esta información puede ayudar a identificar actividades sospechosas en las cuentas afectadas.
• Medidas recomendadas: revisar las instrucciones específicas de la organización para reducir el riesgo de fraude o uso indebido.

El primer paso debe ser contactar directamente a la empresa o institución afectada mediante sus canales oficiales. Si se recibe una notificación inesperada, es importante verificar su autenticidad antes de responder, abrir enlaces o proporcionar información personal, ya que el mensaje podría formar parte de una estafa.

Una vez confirmada la legitimidad de la comunicación, se recomienda solicitar detalles adicionales si la organización no los ha facilitado.

Medidas de protección según los datos expuestos

Las acciones que deben tomarse dependen del tipo de información comprometida. ESET ofrece las siguientes recomendaciones:

• Datos personales: si quedaron expuestos el correo electrónico, la dirección física, el nombre o el número de teléfono, es importante mantenerse alerta ante correos, mensajes y llamadas de phishing. No se deben abrir enlaces ni compartir información sin comprobar la autenticidad del contacto.
• Datos médicos o cuentas de clientes: la información confidencial puede utilizarse para elaborar intentos de fraude más personalizados. Por ello, conviene prestar especial atención a comunicaciones sospechosas que incluyan datos personales o referencias a servicios utilizados.
• Nombres de usuario y contraseñas: cambiar inmediatamente las credenciales de la cuenta afectada y de cualquier otra en la que se haya reutilizado la misma contraseña. También se recomienda activar la autenticación multifactor (MFA o 2FA) para añadir una capa adicional de seguridad.
• Datos bancarios o tarjetas de pago: informar al banco o al proveedor de la tarjeta sobre el incidente, solicitar su reemplazo cuando corresponda y revisar las cuentas para detectar movimientos sospechosos.
• Documentos de identidad: si se expusieron documentos emitidos por organismos gubernamentales, como cédulas, pasaportes o licencias de conducir, se deben seguir las instrucciones de la entidad emisora. Según las circunstancias, podría ser necesario solicitar un reemplazo o reportar un posible uso indebido.
• Información financiera y de identidad: monitorear las cuentas, comunicarse con las instituciones financieras correspondientes, cambiar las credenciales cuando sea necesario y evaluar las herramientas de protección contra el fraude disponibles en el país de residencia.

Monitoreo financiero para prevenir el fraude

Algunas organizaciones afectadas por brechas de datos ofrecen servicios gratuitos de monitoreo crediticio u otras herramientas de protección durante un período determinado. No obstante, su disponibilidad depende del país.

Estos servicios pueden alertar sobre cambios en el historial crediticio o movimientos financieros que podrían indicar un intento de fraude o robo de identidad. En determinados países también existen mecanismos para restringir temporalmente la apertura de nuevas líneas de crédito o registrar alertas ante un posible uso fraudulento de la identidad, de acuerdo con la normativa local.

Cuando la filtración involucra información financiera o documentos de identidad, ESET aconseja revisar periódicamente las cuentas bancarias y las tarjetas, activar alertas de transacciones cuando estén disponibles, consultar el historial crediticio mediante los organismos correspondientes y denunciar cualquier actividad fraudulenta ante las autoridades o entidades competentes.

La prevención sigue siendo clave frente a las filtraciones

El aumento de las organizaciones que recopilan datos personales y el perfeccionamiento de las técnicas de los ciberdelincuentes mantienen vigente el riesgo de nuevas brechas de seguridad. Sin embargo, una filtración no tiene por qué convertirse en una crisis si las personas afectadas reciben información oportuna y adoptan medidas de protección adecuadas.

“A medida que aumentan las organizaciones con las que compartimos nuestros datos y los atacantes perfeccionan sus técnicas para comprometerlas, las probabilidades de recibir una notificación de brecha de datos seguirán creciendo. Pero eso no significa que deba convertirse en una catástrofe. Mantenerse alerta e informado sigue siendo una de las mejores formas de reducir el riesgo de sufrir fraudes posteriores”, concluye Álvarez, de ESET.

Fuente: Identity Theft Resource Center, informe de brechas de datos de 2025.