El Email de Disculpa Llega Tarde a Propósito

Aquí está el número que debería molestarte: en el Informe de Investigación de Brechas de Datos 2024 de Verizon, los atacantes a menudo necesitan solo minutos para forzar una bandeja de entrada, pero los defensores tardaron una mediana de 55 días solo en parchear los agujeros que estaban siendo explotados. Cincuenta y cinco días. Casi dos meses con la puerta abierta mientras el papeleo se pone al día. Y eso es antes de que alguien redacte el email que eventualmente llega a tu bandeja de entrada, comenzando con «We take your privacy seriously».

No lo hacen. Lo que toman en serio es el estatuto.

La mayoría de la gente asume que la notificación de brechas funciona con un reloj medido en horas, como una alarma de incendios. No es así. La ley de brechas de California, Código Civil 1798.82—la ley abuelo que la mayoría de otros estados modelaron según la suya—requiere divulgación «en el tiempo más expedito posible y sin demora indebida». Suena urgente. Luego se abre espacio para «las necesidades legítimas de las fuerzas de orden público» y el tiempo necesario «para determinar el alcance de la brecha y restaurar la integridad razonable» del sistema. Traducción: mientras puedas argumentar que todavía estabas investigando, el reloj realmente no ha comenzado.

Las reglas federales no son mucho más estrictas fuera de sectores específicos. Las brechas médicas bajo HIPAA dan a las entidades cubiertas hasta 60 días. La regla más nueva de la SEC para compañías públicas exige divulgación dentro de cuatro días hábiles—pero solo después de que la empresa decida que el incidente es «material», y esa determinación tampoco tiene plazo fijo. Son plazos todos el camino hacia abajo, y cada uno de ellos se ancla a un juicio que la empresa afectada puede tomar.

Entonces el retraso no es incompetencia. Es arquitectura.

El segundo indicador es la frase que verás en casi cada notificación: «no tenemos evidencia de que tu información haya sido mal utilizada». Lee eso lentamente. No es una afirmación sobre si tus datos son seguros. Es una afirmación sobre qué buscó la empresa y no encontró. Esas son cosas completamente diferentes. Un volcado de credenciales robadas puede estar en un foro durante meses, ser comprado, ser probado contra una docena de otros sitios, y drenar una cuenta que no tiene nada que ver con la empresa afectada—y ninguna de esa actividad aparece en sus registros. «Sin evidencia de mal uso» es el equivalente corporativo de «No vi a nadie llevárselo», ofrecido por la persona que estaba mirando hacia otro lado.

Para cuando la notificación llega, tu email y contraseña han tenido una estación completa en el mercado abierto. El credential-stuffing es automatizado y barato; las listas se revenden y se recombinán constantemente. La carta de brechas es un documento histórico.

Por eso deberías tratar el email de disculpa como un recibo, no como una advertencia. El movimiento protector ya sucedió—o no—semanas antes. Las cosas que realmente ayudan son aburridas y no esperan a nadie del departamento legal: una contraseña única por sitio para que una fuga no pueda causar un efecto dominó, un administrador de contraseñas para que realmente hagas eso, y autenticación de dos factores usando una aplicación o una llave física en lugar de SMS. Comprueba tu propia dirección contra Have I Been Pwned cuando tengas curiosidad, no cuando una empresa finalmente se decide a decirte.

Y cuando la notificación llega, resiste el monitoreo de crédito gratis que cuelgan como ofrenda de paz. Es un año observando un caballo que salió del establo en primavera. El daño, si va a haber alguno, tiende a correr en un reloj más rápido que el que los abogados configuraron. La carta es solo todo el papeleo finalmente acordando reunirse.

Archívalo. Cambia la contraseña. Sigue adelante. Ellos ya lo hicieron.