Caso público de crisis de ciberseguridad · 2024
Santander: proteger la confianza cuando los datos están en manos de un tercero
Alcance de los datos, continuidad de los servicios y atribución de la información. Un análisis que no confunde las declaraciones del banco con las cifras difundidas por los atacantes.
Análisis de un incidente público, no una referencia de cliente de CyberUP. Declaraciones, documentos e interpretación operativa.
En síntesis
El alcance importa más que una cifra aislada
Declaración del Grupo
Acceso no autorizado a una base de datos alojada por un proveedor. [1]
Dos cuestiones distintas
El banco declara que su operativa no se ha visto afectada. [1]
Alcance de la notificación en EE. UU.
Personas indicadas en la comunicación de Santander Holdings U.S.A.; no es el total mundial. [2]
Las cifras y fechas corresponden a las fuentes indicadas. No son resultados de un ejercicio de CyberUP.
Qué está documentado
Hechos y alcance.
La situación declarada por el banco
Santander incluye a clientes de España, Chile y Uruguay, a los empleados actuales del Grupo y a algunos antiguos empleados. Declara que quedan excluidos los datos transaccionales y las credenciales que permitirían operar en las cuentas. Informa del bloqueo de los accesos comprometidos, de controles antifraude adicionales y de comunicaciones a las personas afectadas. [1]
Una notificación local no mide el caso global
El registro de Maine recoge una comunicación de Santander Holdings U.S.A. con 12.786 personas y fechas específicas. La cifra documenta ese alcance: no debe extenderse a todos los clientes y empleados del Grupo. La notificación local no determina, por sí sola, el alcance total del incidente. [2]
Fechas del caso
La cronología documentada.
La comunicación debe ser tan precisa como los datos
Para un ejercicio proponemos separar desde el principio tres preguntas: qué información está afectada, qué actividades siguen disponibles y qué acciones se solicitan a las personas. Confundir estos planos puede generar tanto alarmismo como mensajes tranquilizadores demasiado amplios. El objetivo es construir un mensaje útil incluso cuando la información está incompleta.
El equipo de trabajo debería incluir a quien gestiona al proveedor, Seguridad, las funciones responsables de los datos, Asesoría Jurídica, Recursos Humanos y Comunicación. No es necesario activarlas según una secuencia inventada: hay que establecer qué decisiones requieren su contribución y quién consolida las versiones de la información.
La misma disciplina se aplica a las cifras. Un recuento relativo a una entidad o a una comunicación no debe convertirse en el total del incidente. Proponemos registrar siempre población, fuente y fecha, distinguiendo una declaración corporativa de una reivindicación externa. El ejercicio puede modificar deliberadamente el alcance para observar cómo actualiza el equipo su mensaje.
En la preparación del personal, el análisis puede servir para diseñar escenarios de solicitudes sospechosas y verificación del interlocutor. Es un posible tema de ejercicio, no una prueba de que un intento concreto de fraude se produjera después de este incidente. El personal debe saber cómo reportar, sin asumir la responsabilidad de investigar por su cuenta.
Del caso a la preparación
Tres preguntas para poner a prueba la respuesta.
Propuestas de ejercicio para el contexto de su organización. No describen actividades realizadas por CyberUP para la entidad analizada.
¿Quién concilia la información del proveedor?
Designe a un responsable y establezca una versión compartida del alcance. Registre qué está confirmado, qué excluye la declaración y qué queda por verificar.
¿El mensaje es útil sin ser absoluto?
Prepare indicaciones para clientes y personal que distingan operativa y datos. No convierta «sin evidencias» en «imposible».
¿La población está bien delimitada?
Compruebe que cada cifra siga vinculada a la entidad, el periodo y las personas a las que se refiere, también en infografías y titulares.
Trazabilidad
Fuentes y contenidos relacionados.
Las fechas de las fuentes y el periodo analizado son distintos de la fecha de revisión de esta página. Las interpretaciones de CyberUP se identifican como tales; las fuentes externas no implican respaldo ni relaciones comerciales.
- Banco Santander · 14 de mayo de 2024
Statement (se abre en una pestaña nueva)Declaración corporativa primaria. Alcance del banco, personas afectadas, datos excluidos y operativa según la declaración. - Fiscalía General de Maine · comunicación de Santander Holdings U.S.A. · Notificaciones del 18 de junio de 2024
Data Breach Notice — Santander Holdings U.S.A., Inc. (se abre en una pestaña nueva)Notificación corporativa en un registro público. Alcance estadounidense de la comunicación; no es un recuento global del Grupo.