Robados los datos de 100 millones de clientes del banco Capital One

El banco estadounidense Capital One acaba de identificar una brecha en sus sistemas que permitió a una hacker acceder a la información personal de aproximadamente 100 millones de clientes, entre titulares y solicitantes de tarjetas de crédito. El acceso no autorizado, que se produjo a finales de marzo de este año, se conoció después de que el FBI arrestara a una mujer en el área metropolitana de Seattle (Washington) acusada de fraude bancario.

Capital One es el quinto mayor emisor de tarjetas de crédito en EE UU. También opera en Canadá, donde seis millones de cuentas quedaron expuestas. La entidad explica que una persona fuera del banco tuvo acceso no autoridad a su red. El grupo financiero asegura, en cualquier caso, que la pirata informática no robó números de tarjetas de créditos ni las credenciales necesarias para poder conectarse a las cuentas.

La hacker, que trabajó como ingeniera para Amazon Web Services, utilizó una vulnerabilidad en el servidor de Capital One. Los datos obtenidos ilícitamente incluyen nombres, direcciones, números de teléfono, direcciones de correo electrónico, fechas de nacimiento e ingresos. En algunos casos también robó el número de identificación fiscal así como el historial de pago, números de cuentas bancarias y el saldo. Se cree poco probable que se haya utilizado.

La hacker fue identificada como Paige Thompson, de 33 años de edad, y en las redes se hacía conocer por "erratic". El banco asegura que el problema en su sistema de gestión de datos, que se apoya en AWS, se solucionó de inmediato aunque anticipa que tendrá un impacto financiero de hasta 150 millones de dólares (134 millones de euros), por los cambios en los protocolos de seguridad para evitar un caso similar, las notificaciones a los clientes expuestos al fallo y los costes legales.

Las acciones de Capital One caían cerca de un 5% en la apertura de Wall Street. El banco explicó que detectó la intromisión en sus servidores gracias a que alguien les alertó de que estaban circulando datos en la plataforma GitHub y en un canal de Slack. Thompson estaba alardeando en las redes sociales de que había sido capaz de penetrar en el sistema de la entidad y que le obligó a admitir el fallo.

Se trata de uno de los incidentes más graves de este tipo y se conoce pocos días después de que el servicio de solvencia crediticia Equifax fuera sancionado con 700 millones de dólares por dejar al descubierto los datos privados de casi 150 millones de clientes. La vulnerabilidad en sus bases de datos se detectó hace dos años y el escándalo forzó la dimisión de su presidente ejecutivo, Richard Smith.

Equifax contaba en el momento del pirateo informático con 820 millones de clientes por todo el mundo y más de 90 millones de empresas. La intromisión en sus bases de datos se produjo entre los meses de mayo y julio de 2017. Se detectó el 29 de julio pero no se hizo pública hasta el 7 septiembre de ese año. Fue un momento crítico para la compañía con sede en Atlanta.