Los errores de ciberseguridad están saliendo muy caros a las instituciones: los bancos de Australia y EE. UU. se enfrentan a multas de más de $8,8 millones por autenticación débil y brechas en la preparación para ransomware. Los reguladores de todo el mundo también están endureciendo las medidas contra los intermediarios de datos y las agencias gubernamentales que gestionan mal las licencias o no protegen los datos personales sensibles.

7
9
13
3
Más
14
5
6

Vistas: 10.2k Tiempo de lectura:4 min.

Un importante banco australiano se enfrenta a una multa de $8 millones propuesta por fallos de ciberseguridad

Bendigo Bank se enfrenta a una multa propuesta de 8 millones de dólares por fallos en la ciberseguridad

Bendigo and Adelaide Bank se enfrenta a una multa propuesta de 8 millones de dólares tras admitir fallos de ciberseguridad que provocaron transacciones no autorizadas por valor de casi 500 000 dólares.

En marzo de 2023, un pirata informático aprovechó las debilidades en el sistema de banca en línea del Service One Alliance Bank, cuya operación ha cesado. El atacante accedió a unas 257 cuentas de clientes y realizó 286 transacciones no autorizadas por un valor aproximado de $490,000 a través de 87 clientes.

La Autoridad Australiana de Regulación Prudencial (APRA), el organismo regulador de la seguridad financiera del país, señaló que el banco presentaba deficiencias significativas en sus controles de autenticación de clientes, incluyendo configuraciones de contraseñas débiles, clientes que compartían contraseñas idénticas y características del sistema que permitían a los atacantes identificar IDs válidos de clientes.

Algunos de los problemas se habían detectado durante las pruebas de penetración en 2020, pero no se abordaron antes del ataque. El intruso llevó a cabo la actividad entre el 3 y el 7 de marzo de 2023. Bendigo Bank no pudo recuperar unos 140.000 dólares, pero reembolsó a todos los clientes afectados.

Desde entonces, la APRA ha iniciado un procedimiento sancionador civil contra el banco ante el Tribunal Federal. Bendigo Bank ha admitido haber incumplido sus obligaciones bajo el Banking Executive Accountability Regime (BEAR), incluyendo fallos en seguridad del cliente, pruebas, gobernanza y gestión de riesgos. La sanción propuesta será ahora examinada por el Tribunal Federal.

La Agencia de Privacidad de California multa a un intermediario de datos con $116,490

El regulador de privacidad de California ha multado a LocateSmarter, un data broker con sede en Iowa, con $116,490 por dificultar que los consumidores se opongan a la venta de su información personal.

La sanción es la primera medida de aplicación de la agencia relacionada con infracciones de la California Consumer Privacy Act y del Delete Act del estado. Según la California Privacy Protection Agency, LocateSmarter no se registró como intermediario de datos y exigió a los consumidores que proporcionaran los últimos cuatro dígitos de sus números de la Seguridad Social para presentar solicitudes de opt-out.

Según el organismo regulador, la empresa recopiló información personal sensible, incluidos nombres, datos del permiso de conducir, fechas de nacimiento, historiales laborales e información sobre quiebras y litigios. Exigir a los consumidores que facilitaran datos personales innecesarios para ejercer sus derechos de privacidad infringió los requisitos estatales de minimización de datos.

En virtud del acuerdo, LocateSmarter deberá registrarse como intermediario de datos y revisar sus prácticas para facilitar a los consumidores el ejercicio de sus derechos de privacidad.

Por otra parte, el regulador multó a otro intermediario de datos, Cybba, Inc., con 52.400 dólares por no haberse inscrito en el Registro Estatal de Intermediarios de Datos antes de la fecha límite de 2025. Cybba vende datos personales, incluida la ubicación y la actividad en internet, con fines de publicidad dirigida. El regulador también exige a Cybba que proporcione información sobre los derechos de privacidad en su página web, que utilice el sistema DROP y que gestione las futuras solicitudes de supresión. DROP permite a los consumidores solicitar a todos los intermediarios de datos registrados que supriman su información personal mediante una única solicitud.

Préstamo hipotecario estadounidense ordenado a pagar 825 000 dólares por fallos de seguridad de datos

El Departamento de Protección Financiera e Innovación de California (DFPI) ha ordenado a Academy Mortgage Corporation, con sede en Utah, que pague $825.000 tras constatar que la empresa no protegió adecuadamente la información personal de más de 284.443 personas.

La DFPI determinó que la empresa presentaba problemas prolongados de ciberseguridad y mantenimiento de registros, dejándola vulnerable ante un ataque de ransomware en marzo de 2023. La filtración no se detectó hasta que se sustrajeron las credenciales de los empleados y se desactivaron los sistemas de seguridad de la red.

El regulador también determinó que Academy Mortgage no obtuvo un informe forense escrito que documentara la violación, lo que limitó la información sobre lo ocurrido. Los clientes afectados fueron notificados de la violación de datos en diciembre de 2023.

La orden de consentimiento entre el DFPI y Academy Mortgage Corporation también exige a la empresa que notifique a todos los clientes afectados de California que pueden recibir 12 meses de seguro contra el robo de identidad. Los clientes deberán inscribirse, y la empresa proporcionará instrucciones sobre cómo hacerlo, junto con un punto de contacto para resolver dudas. Academy Mortgage también debe cumplir con las leyes de California y mantener sistemas y procedimientos de ciberseguridad adecuados.

ORC y Purpleline, multadas con 360 000 GH¢ por infracciones de ciberseguridad

La Autoridad de Ciberseguridad de Ghana (CSA) ha multado a la Oficina del Registrador de Empresas (ORC) y a Purpleline Solutions Limited con un total de 360 000 GH¢ (28 235 €) por infringir la normativa de ciberseguridad del país.

La ORC fue multada en GH¢240,000 (€18,823) por incumplir la directiva de utilizar únicamente proveedores de servicios de ciberseguridad licenciados para servicios que involucran su infraestructura de información crítica.

La CSA señaló que la ORC contrató a Purpleline Solutions a pesar de que la empresa no contaba con la licencia de ciberseguridad requerida. La ORC fue multada con 10 000 unidades de sanción por cada una de las dos infracciones y se le concedió un mes para cumplir las directivas pendientes.

Separadamente, Purpleline Solutions fue multada con 120.000 GH¢ (9.412 €) por prestar servicios de ciberseguridad regulados sin licencia. La empresa solicitó una licencia el 15 de julio de 2026, pero la CSA indicó que la solicitud se presentó después de que la ORC ya la hubiera contratado.

Obtener una demo

ImmuniWeb puede ayudarle a prevenir brechas de datos y cumplir con los requisitos normativos.

La ICO del Reino Unido amonesta a ACRO por una brecha de seguridad que expuso datos personales

La Oficina del Comisionado de Información (ICO) del Reino Unido ha amonestado a la Oficina de Registros Penales de ACRO debido a deficiencias en ciberseguridad que pudieron exponer la información personal de hasta 10 920 personas.

ACRO es una unidad de la policía nacional responsable de servicios como los certificados policiales, los certificados internacionales de protección de menores, las solicitudes de acceso de los interesados y las solicitudes de supresión de registros.

La ICO determinó que un pirata informático obtuvo acceso no autorizado al sitio web y al sistema de gestión de contenidos de ACRO entre agosto de 2022 y marzo de 2023. No está claro si la información fue robada, ya que ACRO no disponía de registros suficientes para confirmar que los datos se habían exfiltrado realmente de sus sistemas.

La filtración pudo haber expuesto nombres, fechas de nacimiento, direcciones, números de la National Insurance, datos de pasaportes y licencias de conducir, información bancaria y datos biométricos. Algunos registros también contenían información sensible sobre delitos y otras categorías especiales. Las personas afectadas incluían a solicitantes de certificados policiales, certificados internacionales de protección de menores y solicitudes de acceso, así como a terceros vinculados a dichas solicitudes.

En un incidente, un ataque de inyección SQL expuso 15 nombres de usuario y contraseñas, la mayoría pertenecientes a empleados de ACRO. La ICO señaló que el incidente más grave tuvo lugar entre el 5 de agosto de 2022 y el 14 de marzo de 2023. Durante este período, el atacante mantuvo el acceso al sitio web y al entorno CMS de ACRO.

La ICO constató que ACRO utilizaba empresas de terceros para proporcionar algunos servicios de seguridad, incluidas las actualizaciones de software. Sin embargo, la agencia no asignó claramente la responsabilidad de identificar y verificar las actualizaciones de seguridad importantes para su CMS. Tampoco contaba con un proceso eficaz para aplicar las actualizaciones ni investigó adecuadamente las advertencias de seguridad sobre la posible brecha.

La ICO decidió emitir una amonestación, pero consideró varios factores que atenuaban la gravedad de la situación. La red de ACRO estaba segmentada en diferentes partes, lo que impidió que el pirata informático accediera a sus sistemas principales a través del sitio web afectado. La ICO también reconoció las medidas que ACRO adoptó tras el incidente, incluidas el cierre de los sistemas afectados, el traslado de los servicios a una infraestructura diferente, la implementación de un mejor monitoreo de seguridad, la mejora de su capacidad para detectar ciberamenazas y el fortalecimiento de la segmentación entre sus redes.