Breach victims discover their data was held by companies they’ve never heard of

Un in­for­me de Kroll in­di­ca que casi siete de cada diez per­so­nas per­ju­di­ca­das por fil­tra­cio­nes de datos ges­tio­na­das por la em­pre­sa se vie­ron afec­ta­das a tra­vés de un pro­vee­dor ex­terno. Las com­pa­ñías de­pen­den de estos ser­vi­cios ex­ter­nos para ope­rar soft­wa­re, pro­ce­sar tran­sac­cio­nes y guar­dar in­for­ma­ción, lo que pro­vo­ca que un in­ci­den­te en di­chos pro­vee­do­res ex­pon­ga re­gis­tros de clien­tes de dis­tin­tas or­ga­ni­za­cio­nes, in­clu­yen­do a in­di­vi­duos que jamás han te­ni­do con­tac­to con la com­pa­ñía que al­ma­ce­na sus datos.

Los pro­vee­do­res de tec­no­lo­gía re­pre­sen­ta­ron un por­cen­ta­je menor de los casos, pero abar­ca­ron a la ma­yo­ría de las per­so­nas afec­ta­das de­bi­do a que atien­den a múl­ti­ples clien­tes y po­seen re­gis­tros de va­rios sec­to­res. Cuan­do ocu­rre un robo o una bre­cha en estas em­pre­sas, o in­clu­so en sus sub­con­tra­tis­tas, múl­ti­ples or­ga­ni­za­cio­nes deben in­ves­ti­gar sus ex­po­si­cio­nes. Un ejem­plo de esto son los ata­ques al sis­te­ma de trans­fe­ren­cia de ar­chi­vos MO­VEit, donde la ex­po­si­ción ocu­rrió tanto por el uso di­rec­to del pro­gra­ma como a tra­vés de los pro­vee­do­res que lo uti­li­za­ban.

Las re­la­cio­nes con pro­vee­do­res com­pli­can las in­ves­ti­ga­cio­nes pos­te­rio­res a un in­ci­den­te, ya que cada clien­te debe de­ter­mi­nar si sus re­gis­tros se vie­ron in­vo­lu­cra­dos, qué de­ta­lles que­da­ron ex­pues­tos y quié­nes deben re­ci­bir la no­ti­fi­ca­ción, a veces de­pen­dien­do de la evi­den­cia del pro­vee­dor afec­ta­do. Esta ca­de­na de res­pon­sa­bi­li­da­des di­fi­cul­ta las de­ci­sio­nes de res­pues­ta y exige que las aler­tas a los clien­tes ex­pli­quen con cla­ri­dad cómo un pro­vee­dor des­co­no­ci­do ob­tu­vo la in­for­ma­ción y qué me­di­das se deben tomar.