A mi empresa la hackearon y robaron la base de datos de clientes

¿Tienes razón?

Que te hayan hackeado y que se hayan llevado la base de datos no significa automáticamente que la empresa queda sin defensas ni obligaciones. Lo que determina si la empresa puede ser considerada responsable —y hasta qué punto— son cuatro cosas claras:

1. Qué tipo de datos se expusieron. Si la base contiene datos sensibles (salud, ideología, antecedentes penales, etc.) la gravedad es mayor y la obligación de adoptar medidas y de notificar a las personas afectadas y a autoridades aumenta. Datos simplemente de contacto generan obligaciones menores, pero no nulas.

1. Qué medidas de seguridad tenías implementadas y documentadas. La norma de diligencia se valora por lo que es razonable para el tamaño y actividad de la empresa: políticas de acceso, contraseñas robustas, cifrado, copias de seguridad y registros de auditoría. Si puedes demostrar que aplicaste medidas razonables, tu posición es más sólida.

1. Cómo ocurrió la intrusión. Si fue por un fallo en un proveedor externo, por negligencia de un trabajador o por una vulnerabilidad conocida sin parchear, la causalidad importa para distribuir responsabilidad entre la empresa, proveedores y terceros.

1. Qué hiciste después del incidente. La forma en que contuviste el daño, preservaste evidencia técnica (logs, imágenes de disco, correos) y comunicaron a los afectados influye en la valoración de la conducta. Ocultar o borrar pruebas empeora mucho la situación.

Si en estos cuatro puntos la empresa demuestra diligencia, la reclamación de clientes y las sanciones potenciales serán más manejables; si no, la exposición legal y reputacional aumenta.

Cómo se soluciona

1. Contén y preserva (lo que puedes hacer ya). Aísla los sistemas comprometidos sin borrar los registros. Exporta logs, snapshots y copias forenses de discos si es posible. No borres correos ni registros. Documenta cada acción con fecha, hora y responsable.

1. Notifica internamente y activa roles. Informa a la dirección y a quien en tu empresa responde por privacidad o seguridad (si no existe, designa a alguien). Delega la custodia de la evidencia a una persona técnica que no altere los sistemas.

1. Contacta a un perito en informática forense. Un informe forense profesional identifica el vector de ataque, alcance y evidencia de exfiltración. Es prueba esencial para clientes y autoridades. Si no puedes contratar, conserva todo y busca apoyo en servicio técnico externo con experiencia forense.

1. Evalúa el contenido de la base. Haz un inventario de qué campos estaban en la base: correo, teléfono, dirección, RUT, claves, historial de compras, información sensible. Clasifica el riesgo para cada tipo de dato.

1. Redacta la comunicación a afectados. Si los datos filtrados permiten daño (suplantación, fraude, exposición de salud), la ley y la buena práctica exigen informar a las personas afectadas con información concreta: qué se filtró, qué medidas ofreces y cómo pueden protegerse. Prepara un mensaje claro y sencillo; evita tecnicismos.

1. Decide si notificar autoridades. En Chile puede corresponder notificar a la autoridad competente según la materia y la gravedad. Consulta con asesoría (interno o externo) para definir el alcance de la notificación y su contenido.

1. Fortalece controles y corrige vulnerabilidades. Aplica parches, cambia credenciales comprometidas, revisa accesos privilegiados y activa doble factor donde sea posible. Documenta las medidas tomadas.

1. Comunica a clientes y aliados. Una comunicación externa honesta y proporcionada reduce daño reputacional. Ofrece canales de consulta y, si procede, medidas de mitigación como monitoreo de fraude.

1. Considera asesoría legal. Para evaluar responsabilidades contractuales con clientes y proveedores, y para preparar la materialidad de la notificación.

1. Revisa seguros. Si tienes pólizas de ciberseguridad, activa el reclamo y sigue sus procedimientos.

En todo momento separa lo que puedes gestionar internamente (contención técnica inicial, copia de logs, comunicación básica) de lo que requiere perito o abogado (informe forense certificado, comunicaciones legales y notificaciones regulatorias).

Qué puede pasar

1) Se arregla con comunicación y mitigación: muchas brechas se resuelven informando a las personas afectadas, ofreciendo medidas de protección y mostrando que se tomaron correcciones serias. Esto evita demandas masivas y sanciones cuando la exposición es limitada y la empresa demuestra diligencia.

2) Acuerdo o conciliación: algunos clientes o incluso grupos pueden reclamar indemnizaciones o compensaciones. Llegar a un acuerdo puede implicar ofrecer créditos, servicios de monitoreo o compensaciones simbólicas. Un acuerdo puede ser preferible si evita litigios largos y costosos y da cierre rápido.

3) Juicio o sanción: si hay negligencia grave (ausencia de medidas mínimas, ocultamiento de la brecha o exposición de datos sensibles) la vía judicial o administrativa puede resultar en sanciones, pago de daños o medidas supervisadas por autoridades. Si pierdes en juicio, es posible que debas pagar costas y ejecutar medidas de reparación; si la contraparte es insolvente, una sentencia puede quedar difícil de cobrar.

Y si ganas, ¿cobras? Una sentencia que te condene a pagar a víctimas es sólo útil si el demandado tiene activos para ejecutar. Si el responsable es una empresa pequeña sin recursos, la sentencia se convierte en un título que puede tardar en cobrar o no ser cobrable.

Errores que arruinan el caso

• Borrar o alterar logs y correos: destruye la prueba forense y sugiere ocultamiento.
• No documentar acciones: sin registros de qué se hizo, los peritajes y defensas pierden valor.
• Hacer comunicaciones vagas o contradictorias a clientes: aumenta desconfianza y el riesgo de demandas colectivas.
• Ignorar al proveedor comprometido: no investigar la cadena de custodia debilita la defensa frente a terceros.
• Firmar acuerdos de confidencialidad que impidan a clientes reclamar o notificar cuando la ley exige hacerlo.