Hackeo o sustracción: la gravedad de la filtración de datos personales del Buró de Crédito en México

A primera vista parece que se trata de un hackeo, pero lo que ha vivido el Buró de Crédito en las últimas semanas se trata de un robo cometido desde sus entrañas. Datos personales y financieros se han puesto a la venta en los lugares oscuros de internet para que estafadores y otros criminales puedan hacer uso de ellos. La propia institución de información crediticia indicó que se ofertó de manera ilegal una base de datos de 2016 y que “habrían sido obtenidos de manera i...

A primera vista parece que se trata de un hackeo, pero lo que ha vivido el Buró de Crédito en las últimas semanas se trata de un robo cometido desde sus entrañas. Datos personales y financieros se han puesto a la venta en los lugares oscuros de internet para que estafadores y otros criminales puedan hacer uso de ellos. La propia institución de información crediticia indicó que se ofertó de manera ilegal una base de datos de 2016 y que “habrían sido obtenidos de manera indebida”, según lo que ha dado a conocer.

Aunque la información es relativamente vieja, no es ningún consuelo para los usuarios. Según el Buró, gran parte de esta lista ya había sido eliminada de la base de datos actual de conforme a lo ordenado por la Ley para Regular las Sociedades de Información Crediticia. “Esta filtración es más grave que cualquier filtración de historial crediticio que pudiera tener un banco”, dice en entrevista David Schekaiban, director de seguridad en la firma Código Verde, dedicada a la seguridad de la información. “Hay datos personales y financieros de todas las personas que tienen créditos en una lista que se estuvo vendiendo hasta quién sabe cuánto y que quién sabe quién tenga en sus manos”, recalca.

Se trata de una filtración mayúscula, incluso cuando no es actual. De acuerdo con la Encuesta Nacional de Inclusión Financiera elaborada por la Comisión Nacional Bancaria y de Valores (CNBV), 27,4 millones de mexicanos tienen al menos un crédito formal, cifra que equivale a 32,7% de la población entre 18 y 70 años.

Los datos de este grupo de población están a disposición de las Sociedades de Información Crediticia, entidades financieras que recopilan, entregan y manejan información del historial crediticio de personas físicas y morales. Así, cualquier persona que haya solicitado un crédito bancario, o bien, tenga un contrato de pospago (como los de las líneas telefónicas), ha entregado su información a las empresas que al mismo tiempo están en la base de estas entidades.

Tener un buen historial crediticio es uno de los principales dolores de cabeza para las finanzas de los mexicanos, ya que los bancos y otras entidades financieras suelen consultar a estas sociedades de información para decidir si otorgan o no un préstamo a los usuarios, basados en su buen o mal comportamiento. Estos historiales suelen contener nombre, domicilio actual y pasados, números de cuenta y cantidad de préstamos otorgados a una sola persona.

De acuerdo con datos de la Comisión Federal de Competencia Económica, en el país operan tres Sociedades de información crediticia: Trans Union de México, Dun & Bradstreet y Círculo de Crédito, siendo las dos primeras forman parte de un mismo grupo de interés económico llamado Buró de Crédito. Trans Union y Círculo de Crédito operan el mercado de información crediticia de personas físicas y que cuenta con 15 veces más datos que Círculo de Crédito.

El peligro de que los cibercriminales tengan estos datos es mayúsculo. “Que una persona desconocida posea los datos de los usuarios de crédito es preocupante, va desde ataques dirigidos utilizando ingeniería social para engañar a los usuarios de esas listas, hasta la realización de trámites apócrifos utilizando la información contenida en las listas”, refiere Schekaiban.

Pero existen otras aristas. El Buró de Crédito se encuentra dentro del margen de excepción de la Ley Federal de Protección de Datos Personales en Posesión de particulares, precisa Armando Becerra, asesor en ética y protección de datos. “Este evento puede sembrar un antecedente similar a cuando en 2021 la Suprema Corte resolvió un amparo a favor de un usuario que quería ejercer ante el Buró su derecho de acceso a sus datos personales”, recuerda.

El Buró de Crédito ofrece el servicio de bloqueo y de alertas cuando una entidad solicite el historial crediticio de cada persona. “Aunque el Buró se encuentra en un margen de excepción y ofrece los servicios de alerta y bloqueo, es importante mencionar que en su página web cuenta con un aviso de privacidad donde se proporcionan medios de contacto en caso de que los usuarios tengan una duda razonable de que los datos en custodia del Buró están siendo mal utilizados, o simplemente si tienen dudas sobre el tratamiento de sus datos”, refiere el especialista.

Luego de que la institución anunciara la vulneración de los datos personales, el Buró de Crédito puso a disposición de los consumidores un sitio web para verificar si una persona fue afectada por este incidente de seguridad de la información. El usuario debe tener a la mano un estado de cuenta para poder validar su información, de lo contrario, no será posible acceder a esta validación.

Suscríbase aquí a la newsletter de EL PAÍS México y reciba todas las claves informativas de la actualidad de este país