Cuando cobrar una cartera cuesta la privacidad de 15,7 millones de personas
Esta semana se conoció una nueva filtración que reunió en una sola base de datos, de aproximadamente 4,8 GB, información de 15,7 millones de colombianos: números de identificación, correos electrónicos, teléfonos y fechas de nacimiento. La fuente principal habría sido el ICFES (81 % de los registros), pero lo que debería preocupar especialmente al sector financiero es la presencia de información atribuida a importantes bancos y entidades que manejan datos de los Colombianos.
Lo más inquietante es que no se trató de un ataque nuevo ni particularmente sofisticado. Según los análisis divulgados, alguien tomó filtraciones previamente conocidas y las cruzó mediante números de identificación para construir perfiles mucho más completos y valiosos para actividades de fraude y suplantación. En otras palabras, la vulnerabilidad no nació ayer; llevaba tiempo circulando y acumulando riesgos.
Este patrón no es aislado
Después de años trabajando en la intersección entre cobranza, datos y tecnología, hemos observado una realidad que se repite con frecuencia: las entidades financieras invierten importantes recursos en proteger sus propios entornos, pero parte del procesamiento de cartera se delega a proveedores externos que reciben información altamente sensible y que no siempre operan bajo los mismos estándares de seguridad.
¿Por qué ocurre esto?
Primero, porque los archivos que se entregan a proveedores de cobranza suelen contener más información que la utilizada por las áreas comerciales. Además de datos de identificación, pueden incluir historiales de pago, saldos, contactos alternativos y otra información relevante para la gestión de cobro. Se trata, en la práctica, de conjuntos de datos especialmente atractivos para cualquier intento de consolidación o explotación indebida de información.
Segundo, porque no todos los proveedores cuentan con esquemas robustos de gestión de seguridad de la información. Controles como cifrado en reposo y en tránsito, segregación de accesos, monitoreo continuo, auditorías periódicas y eliminación segura de la información deberían ser requisitos mínimos para cualquier organización que procese datos financieros y personales.
Tercero, porque la responsabilidad sobre la información no desaparece cuando se subcontrata un proceso. La gestión del riesgo de terceros forma parte integral de las obligaciones de las entidades financieras y debe ser tratada con el mismo rigor que cualquier otro riesgo operativo o de ciberseguridad.
Sin embargo, en muchas ocasiones se mide con gran detalle la efectividad de la gestión de recaudo, mientras que la protección de la información que soporta esa gestión recibe un nivel de supervisión considerablemente menor.
¿Qué deberían exigir las entidades financieras a sus proveedores de cobranza?
Más que exigir la recepción periódica de archivos con información sensible, deberían priorizar modelos operativos donde los proveedores trabajen directamente sobre plataformas seguras controladas por la entidad financiera, evitando la circulación innecesaria de bases de datos fuera de sus entornos protegidos.
Hoy la tecnología permite gestionar procesos de cobranza sin necesidad de transferir archivos completos a terceros y, en muchos casos, sin exponer datos sensibles en texto plano. La minimización de datos, la tokenización, los accesos controlados y el uso de plataformas centralizadas son mecanismos disponibles y probados.
Adicionalmente, cualquier intercambio de información debe estar estrictamente alineado con las autorizaciones otorgadas por los titulares de los datos, las obligaciones legales vigentes y los principios de protección de datos personales.
Mientras las entidades financieras y toda su cadena de suministro no adopten una visión integral de la seguridad de la información y de la protección de datos personales, seguiremos viendo incidentes que afectan no solo la privacidad de millones de personas, sino también su reputación y su bienestar financiero.
Filtraciones como esta no son un evento aislado ni un problema exclusivo de quien perdió los datos originalmente. Son el síntoma de una cadena de tratamiento de información en la que la entidad, el proveedor y el eventual subcontratista comparten responsabilidades, y donde el eslabón más débil termina definiendo el nivel real de protección de millones de ciudadanos.
La seguridad de la información ya no puede evaluarse únicamente dentro de los límites de una organización. Debe extenderse a toda la cadena de tratamiento de datos.
Es momento de que la supervisión, la auditoría y la gestión efectiva del riesgo de terceros ocupen el lugar que les corresponde en la agenda del sector financiero colombiano.
¿Sabes si tus proveedores de cobranza protegen bien tus datos?
