Luego de recibir comentarios de Experian sobre una filtración masiva de datos en Brasil, la fundación de derechos del consumidor del estado de São Paulo, Procon, describió las explicaciones de la compañía como «insuficientes» y dijo que es probable que el incidente se haya iniciado en un entorno corporativo.
Procon notificó a la multinacional de información crediticia tras el surgimiento de una filtración que expuso los datos personales de más de 220 millones de ciudadanos y empresas, actualmente ofrecidos a la venta en la dark web. La firma de seguridad PSafe descubrió el incidente, que expuso todo tipo de detalles personales, incluida información de Mosaic, un modelo de segmentación de consumidores utilizado por Serasa, la subsidiaria brasileña de Experian.
Tras el surgimiento de la fuga en enero, Procon notificó a la oficina de crédito y solicitó a la empresa una confirmación del incidente y una explicación de las razones que causaron la fuga, los pasos tomados para contenerla, cómo reparará el daño. a los consumidores afectados y las medidas adoptadas para evitar que vuelva a ocurrir.
«No se ha descartado ninguna hipótesis, y en este momento consideramos que es más probable que la filtración provenga de empresas internas en lugar de piratas informáticos», dijo el director ejecutivo de Procon, Fernando Capez, y agregó que los comentarios de Experian generan más preguntas que respuestas. Las explicaciones de la empresa serán analizadas por la junta del órgano de defensa de los derechos del consumidor y se podrá aplicar una multa si se evidencia alguna irregularidad.
Según Procon, Experian informó que todas sus actividades que involucran datos personales cumplen con las normas de protección de datos de Brasil, y que el procesamiento de dichos datos puede servir legalmente para varios propósitos. Esa parte de la respuesta fue insuficiente, dijo el organismo de derechos del consumidor, ya que «no existe base legal para el tratamiento y uso de datos de manera indiscriminada» y eso incluye datos de personas fallecidas, también expuestas en la filtración.
Además, Procon señaló que Serasa Experian no especificó las medidas técnicas y organizativas adoptadas para implementar su política de protección de datos. Además, la empresa reforzó lo que había dicho en un comunicado emitido la semana pasada en su respuesta a la notificación, que no hay evidencia de que se hayan obtenido datos crediticios ilegalmente de su filial brasileña. La compañía también argumentó que no hay evidencia de que sus sistemas tecnológicos hayan sido comprometidos.
En relación con la política de mitigación de riesgos de Serasa Experian que puede ocurrir en tales circunstancias, Procon dijo que la empresa solo indicó que actualmente se encuentra en funcionamiento un «programa integral de seguridad de la información». En cuanto a la reparación de daños a los consumidores, Serasa Experian indicó que su sitio web tiene instrucciones sobre qué hacer en caso de fraude. La postura de Procon es que se trata de una medida preventiva más que de una acción reparadora.
Contactado por MarketingyPublicidad.es, Serasa Experian no respondió a las solicitudes de comentarios sobre la respuesta de Procon a sus comentarios. Las demandas de respuesta de la agencia siguen a los llamados del Instituto Brasileño de Protección al Consumidor (IDEC) de medidas urgentes para investigar y sancionar a los responsables de exponer los datos de la población, así como mejorar la información y la transparencia de los ciudadanos.
