Las brechas de datos reportadas públicamente alcanzaron un máximo histórico en Estados Unidos durante 2025, con más de 3.300 incidentes registrados y cerca de 295 millones de notificaciones enviadas a las víctimas. Sin embargo, solo el 24 % de esos avisos incluyó detalles sobre el vector de ataque, la proporción más baja registrada.
La reducción de información en las notificaciones complica la evaluación del riesgo y puede condicionar las decisiones posteriores de quienes resultan afectados. Rodrigo Alvarez, investigador de Seguridad Informática de ESET Latinoamérica, explicó que existen muchos motivos por los que una organización afectada por una brecha puede mostrarse reacia, o simplemente no estar en condiciones, de compartir todos los detalles de un incidente.
Entre las razones, aparece la presión por comunicar rápido cuando el hecho se hace público, aun sin contar con un diagnóstico completo. “Los equipos de comunicación de crisis pueden querer informar cuanto antes a los clientes una vez que la noticia sale a la luz, para proteger la reputación de la organización y evitar especulaciones perjudiciales. Sin embargo, es posible que todavía no conozcan el panorama completo”, agregó Alvarez.
También influye la complejidad técnica: determinar qué datos fueron comprometidos y de qué manera puede llevar semanas o meses, especialmente ante grandes volúmenes de información. A eso se suma el riesgo de que una divulgación amplia facilite nuevos ataques al exponer el camino utilizado o debilidades defensivas, e incluso beneficie al atacante si aún permanece dentro de la red. En paralelo, existen incentivos financieros: compartir demasiados detalles podría afectar el valor de las acciones, la reputación o la ventaja competitiva.
Otro problema es el lenguaje ambiguo. Que los datos hayan sido “accedidos” no implica necesariamente que hayan sido robados o extraídos. Y que una empresa diga que no encontró “evidencia de uso indebido” no garantiza que no haya existido. Del mismo modo, la frase “podrías haber sido afectado” no confirma que los datos estén entre los comprometidos, aunque sí sugiere actuar con cautela.
Ante una filtración, los puntos clave a conocer incluyen si los datos fueron solo accedidos o extraídos; qué tipo de información quedó expuesta; cuándo ocurrió el incidente y cuánto duró; y qué recomendaciones específicas ofrece la organización.
Como primer paso, se plantea contactar a la entidad supuestamente afectada por canales oficiales y verificar la notificación antes de responder o hacer clic, ya que podría tratarse de una estafa. Confirmada la legitimidad, se sugiere pedir más detalles y actuar según el tipo de dato comprometido: cambiar contraseñas y activar MFA/2FA; contactar al banco y monitorear movimientos; extremar cuidados ante phishing; y seguir indicaciones de organismos emisores si se expusieron documentos de identidad.
Alvarez concluyó: “Mantenerse alerta e informado sigue siendo una de las mejores formas de reducir el riesgo de sufrir fraudes posteriores”.
