Generador de Protocolo de Brechas de Seguridad

Datos clave. 147 millones de personas afectadas (incluyendo 145,5 millones de números de seguridad social y 209.000 tarjetas de pago). Acuerdo regulatorio del 22 de julio de 2019 con la FTC, CFPB y 48 estados: USD 575 millones como mínimo, potencialmente hasta USD 700 millones. Causa técnica: vulnerabilidad de Apache Struts (alerta US-CERT del 9 de marzo de 2017) que la empresa no parchó dentro de las 48 horas recomendadas. Período del acceso no autorizado: mediados de mayo a julio de 2017. Detección por Equifax: 29 de julio de 2017. Notificación pública: 7 de septiembre de 2017 — alrededor de 40 días de demora.

Lección para Chile. Bajo el Art. 14 quinquies de la Ley 21.719 (deber de seguridad), conocer una vulnerabilidad y no parcharla constituye negligencia grave. Bajo el Art. 14 sexies (deber de notificación), los 40 días entre detección y comunicación pública configurarían "dilación indebida". Combinado con el volumen masivo y el tipo de datos económicos comprometidos, la conducta calificaría como infracción gravísima (Art. 34 quáter) en Chile.

Lo que habría atenuado. Protocolo de gestión de vulnerabilidades documentado, notificación oportuna a la autoridad, plan de comunicación a afectados pre-existente. Estas son las atenuantes del Art. 36 N° 1 (acciones de reparación) y N° 2 (colaboración con la autoridad).

Datos clave. Aproximadamente 430.000 clientes afectados según el Monetary Penalty Notice del ICO (16 de octubre de 2020). Multa propuesta originalmente en julio de 2019: £183,39 millones — caso emblemático por ser la primera multa multimillonaria bajo GDPR. Multa final tras representaciones de BA y ajuste por COVID-19: £20 millones (11% del NOI inicial). Causa técnica documentada por el ICO: credenciales privilegiadas guardadas en archivo de texto plano (hardcoding) que permitieron a un atacante acceder al sistema de remote access. Datos comprometidos: información de tarjeta de pago, credenciales y datos personales.

Lección para Chile. Bajo el Art. 14 quinquies de la Ley 21.719, hardcodear credenciales en archivos de texto plano violenta el deber de adoptar medidas técnicas razonables. Los datos financieros (tarjetas) son sensibles bajo el Art. 2° letra g) y exigen estándar reforzado. Tipificación esperable: infracción gravísima (Art. 34 quáter).

Lo que atenuó la sanción. El ICO redujo 20% por las acciones de mitigación de BA y otros £4 millones por el contexto COVID-19. La estructura de atenuantes del Art. 36 (acciones de reparación, colaboración, ausencia de sanciones previas) opera con la misma lógica.

Datos clave. 339 millones de registros de huéspedes en todo el mundo según el Monetary Penalty Notice del ICO (30 de octubre de 2020). Marriott había estimado inicialmente hasta 500 millones (noviembre 2018) y posteriormente revisó a 383 millones (enero 2019). De los registros, 5,25 millones contenían números de pasaporte sin cifrar. Multa propuesta originalmente: £99,2 millones; multa final: £18,4 millones. Período de la vulneración: ataque iniciado en 2014 y no detectado hasta septiembre de 2018 — cuatro años sin detectar. La brecha estaba en sistemas de Starwood, adquiridos por Marriott en 2016.

Lección para Chile. Las vulneraciones heredadas en operaciones de M&A son responsabilidad del adquirente. Bajo la Ley 21.719, la due diligence de protección de datos antes de fusiones y adquisiciones forma parte del deber de seguridad del Art. 14 quinquies. Cuatro años sin detectar configuraría carácter continuado (agravante del Art. 36 letra b). Pasaportes sin cifrar = ausencia de medida técnica básica para datos de identificación oficial.

Lo que habría ayudado. Auditoría de seguridad pre-adquisición, monitoreo retroactivo de sistemas heredados, mapeo claro de qué empresa procesa qué datos. Cifrado AES-128 en lugar de SHA-1 (que Marriott reconoció en 2024 que se había usado en parte de los registros).

Datos clave. Originalmente Yahoo divulgó "cientos de millones" en diciembre de 2016. En octubre de 2017, ya bajo Verizon/Oath, se confirmó que las 3.000 millones de cuentas existentes en 2013 fueron afectadas. La SEC sancionó a Altaba (sucesor de Yahoo) con USD 35 millones el 24 de abril de 2018, por la intrusión específica de diciembre de 2014, atribuida a oficiales del FSB ruso (acusación DOJ del 15 de marzo de 2017). Tiempo entre detección y notificación pública: aproximadamente 2 años. Verizon redujo el precio de adquisición en USD 350 millones tras conocer la vulneración.

Lección para Chile. Dos años de demora en notificar configuran "dilación indebida" claramente. Bajo el Art. 14 sexies de la Ley 21.719, omitir deliberadamente la comunicación de una vulneración es infracción gravísima (Art. 34 quáter letra f). En el caso de empresas listadas en bolsa, la falta de controles internos para evaluar materialidad cibernética genera doble exposición — ante la APDP y, en Chile, eventualmente ante la CMF.

Lo que habría ayudado. Cadena de mando clara para escalamiento de incidentes, procedimiento de notificación pre-establecido, cultura de transparencia frente al regulador. Estos elementos se materializan en un protocolo escrito y probado antes del incidente — exactamente el tipo de "diligencia debida" que el Art. 36 N° 5 reconoce como atenuante a través del Modelo de Prevención del Art. 49.