15 pasos que debe tomar si se vio afectado por las violaciones de datos de MGM & Marriott

A principios de 2020, Marriott y MGM Resorts se unieron a la larga y creciente lista de importantes empresas afectadas por violaciones de datos. Los dos gigantes de la hospitalidad tienen mucha compañía, incluidos gigantes minoristas como Target (2013) y The Home Depot (2014), aseguradoras de primera línea como Anthem (2015) y firmas financieras como Capital One (2019) y  Equifax ( 2017). La brecha en Equifax, una de las tres principales agencias de informes crediticios del consumidor, fue una de las peores, con unos 143 millones de registros personales comprometidos en el ataque masivo.

Según CNN y ZDNet , las infracciones de MGM y Marriott afectaron a más de 15 millones de huéspedes que se habían alojado en las propiedades de las cadenas en los últimos años.

Para Marriott, fue la segunda gran filtración de datos anunciada en menos de dos años. El incidente anterior fue mucho más grave y comprometió los números de pasaporte y tarjeta de crédito de más de 400 millones de huéspedes. Pero la información del programa de recompensas estuvo involucrada en la infracción más reciente, lo que generó el espectro de fraude y suplantación de identidad para los huéspedes afectados.

Independientemente de las circunstancias o la naturaleza precisa de la violación, debe actuar con rapidez si tiene motivos para creer que es una víctima potencial de una violación de datos corporativos. La información personal robada puede usarse en el robo de identidad , que puede ser sorprendentemente difícil de detectar, en particular para los ancianos , los niños menores y los adultos con control limitado sobre sus datos personales y finanzas.

Si sus datos son parte de una infracción corporativa, es posible que no sea necesariamente víctima de un robo de identidad. Pero aumenta significativamente sus posibilidades, especialmente si no toma medidas decisivas poco después de enterarse de la infracción.

Qué hacer cuando forma parte de una violación de datos (o sospecha que lo es)

Si tiene motivos para creer que sus datos estuvieron involucrados en una violación de datos corporativos, como la violación de MGM / Marriott, esto es lo que puede hacer para mitigar el riesgo.

1. Determine si está realmente afectado

A veces, la organización afectada establece un sitio web dedicado o una línea directa para que los miembros del público verifiquen su estado. Después de revelar su incumplimiento de 2017, Equifax hizo ambas cosas. Aún puede usar su sitio web  para verificar su exposición.

Otras veces, la organización afectada notifica a las víctimas directamente. Según CNBC , Capital One notificó a las víctimas de su violación de 2019 a través de múltiples canales, que probablemente incluyan correos electrónicos y mensajes de cuenta internos seguros.

También puede utilizar la línea de tiempo y la geografía públicamente conocidas de la infracción para determinar su exposición. Por ejemplo, la violación de Capital One incluyó datos de casi todos los que solicitaron crédito a la compañía entre 2005 y principios de 2019. Probablemente sepa de primera mano si eso se refiere a usted.

2. Determine el alcance del compromiso

Esto puede ser más complicado que determinar su exposición. Por ejemplo, los datos robados en la violación de Capital One parecían dividirse en tres grupos principales:

• Los datos generalmente se incluyen en las solicitudes de tarjetas de crédito , como nombres, fechas de nacimiento, domicilios e ingresos autoinformados
• Datos del seguro  social: números de seguro social de clientes de EE. UU. Y números de seguro social de clientes canadienses.
• Datos de tarjetas de crédito , incluido el historial de pagos, los límites de crédito, las puntuaciones de crédito y los saldos de las cuentas, pero aparentemente no los números de tarjetas de crédito en sí.

El presunto autor accedió a los datos de la solicitud de tarjetas de crédito de prácticamente todos los consumidores afectados por la infracción. Accedió a la información del seguro social de un número menor de víctimas, alrededor de 1 millón, en su mayoría canadienses, y solo pudo obtener datos de transacciones fragmentados de 23 días en 2016, 2017 y 2018.

En otras palabras, si solicitó un producto de crédito de Capital One entre 2005 y principios de 2019, puede asumir que los datos de su solicitud se vieron comprometidos. Pero a menos que tuviera una tarjeta de crédito Capital One activa de 2016 a 2018, los datos de sus transacciones probablemente estén seguros.

Para estar seguro, comuníquese con la organización afectada a través de los canales aprobados, como el sitio web de búsqueda de violaciones de Equifax. Aunque siempre puede llamar a la línea directa de atención al cliente habitual de la organización o utilizar su función de chat en línea, cualquier otra persona también puede hacerlo. Y a raíz de una infracción importante, es probable que incluso los equipos de soporte de las grandes organizaciones se vean abrumados por consultas.

Alternativamente, espere a que la organización afectada se comunique con usted directamente mientras trabaja con el resto de esta lista. No interprete que el silencio continuo significa que está a salvo; la organización puede tomar algún tiempo para determinar con precisión quién se ve afectado y cómo.

3. Preste atención a las comunicaciones oficiales de la organización comprometida

Si la organización comprometida se compromete a notificar a los clientes afectados por la infracción, averigüe exactamente cómo y cuándo lo harán. Dado que es menos vulnerable al compromiso que el correo electrónico y menos propenso al abuso que las llamadas telefónicas, el correo postal sigue siendo un medio popular de notificación de infracciones. Las instituciones financieras también pueden utilizar mensajes de cuenta internos seguros para notificar a los clientes.

No confíe en los intermediarios a menos que la empresa comprometida diga que está bien hacerlo. No hable con nadie que intente comunicarse con usted fuera de un medio de divulgación aprobado. Si la organización promete notificar a las víctimas por correo postal y alguien lo llama diciendo que las representa, asuma que es una estafa y cuelgue.

En caso de que reciba comunicaciones oficiales de la organización afectada, preste mucha atención y siga las instrucciones que reciba. Por ejemplo, después de una infracción que compromete los datos de las tarjetas de pago, las instituciones financieras suelen volver a emitir tarjetas con números nuevos. Busque el suyo en el correo y actívelo de inmediato.

Las instrucciones oficiales de la organización comprometida pueden superponerse con algunos o todos los elementos de acción de esta lista, razón de más para tomarlos en serio.

4. Cambie las contraseñas de cualquier cuenta afectada

Cambie la contraseña de cualquier cuenta digital que conozca o sospeche que está comprometida en la infracción. Si usa la misma contraseña comprometida en otras cuentas no afectadas por la infracción, cambie las contraseñas de esas también. En el futuro, evite reutilizar contraseñas, use un administrador de almacenamiento de contraseñas seguro como 1password y aproveche la oportunidad para revisar estos consejos para proteger su información personal en línea .

5. Establecer alertas de actividad

Si sabe o sospecha que la violación comprometió su información financiera, como los números de tarjetas de pago o cuentas bancarias, configure alertas de actividad en esas cuentas para monitorear el uso no autorizado. Como mínimo, estas alertas deben cubrir los intentos de retiros y transacciones en el punto de venta, así como los intentos de acceder a sus cuentas en línea.

Tenga en cuenta que los piratas informáticos no tienen que irrumpir en el mainframe de su banco para obtener la información de su tarjeta de pago. Más de 100 millones de compradores de Target perdieron información de tarjetas de pago en la violación de datos del minorista en 2013, por ejemplo, una violación que no afectó directamente a ninguna institución financiera.

6. Solicite nuevos números de tarjeta de pago

Las empresas de servicios financieros generalmente distribuyen tarjetas de pago nuevas cuando sus clientes se ven afectados por infracciones. Pero si los datos de su tarjeta están involucrados en una infracción de terceros, como el incidente de Target, es posible que deba ser proactivo.

Llame al número que figura en el reverso de la tarjeta y dígale al representante que cree que su cuenta se vio comprometida. Es posible que deba explicar el escenario y responder algunas preguntas repetitivas, como “¿Alguna vez estuvo la tarjeta fuera de su posesión?” Sea sincero, pero no explique demasiado. Su banco o emisor de la tarjeta no quiere estar enganchado por transacciones no autorizadas, por lo que es probable que cancele y vuelva a emitir su tarjeta con un rechazo limitado. En la mayoría de los casos, deberá esperar para usar el nuevo número hasta que la tarjeta física llegue por correo.

7. Inscríbase en un servicio gratuito de supervisión de crédito o protección contra robo de identidad

Es una práctica estándar para las organizaciones afectadas por violaciones de datos ofrecer a los clientes inscripción gratuita por tiempo limitado en servicios de supervisión de crédito o protección contra robo de identidad. Los períodos de inscripción suelen durar al menos un año, sin obligación de volver a inscribirse a precios de suscripción. Algunos duran más; Equifax ofreció a los clientes afectados por su incumplimiento de 2017 hasta 10 años de monitoreo de crédito gratuito.

Dado que la inscripción en estos servicios es gratuita y no está obligado a pagar cuando finaliza el período gratuito, hay pocas desventajas en aceptar la oferta de una organización. Es lo mínimo que pueden hacer.

8. Coloque alertas de fraude

Coloque una alerta de fraude en cada una de las tres principales agencias de informes crediticios: Experian , Equifax y TransUnion . Por ley, una oficina de informes crediticios debe comunicarse con las otras dos cuando recibe una solicitud de alerta de fraude, por lo que técnicamente solo necesita colocar una alerta en una oficina para garantizar la protección de las tres. Sin embargo, si no confía en el proceso, puede comunicarse con cada oficina individualmente.

Mientras su alerta de fraude permanezca vigente, los posibles acreedores deben verificar su identidad antes de abrir nuevas líneas de crédito a su nombre. Cuando alguien retira su crédito o intenta abrir una nueva línea de crédito en su nombre, recibirá automáticamente una alerta. Eso hace que sea mucho más difícil para los ladrones de identidad explotar su buen crédito y acumular deudas sin su conocimiento.

Las alertas de fraude se pueden instituir y mantener de forma gratuita. Tienen una duración de un año y puedes renovarlos al final de cada período.

9. Reclame sus informes crediticios gratuitos

Esto es algo que debe hacer de todos modos, independientemente de si está involucrado en una violación de datos. Por ley, tiene derecho a un informe crediticio gratuito por año de cada una de las tres principales oficinas de informes crediticios. Puede obtener el suyo en AnnualCreditReport.com . Considere la posibilidad de generar un informe por trimestre para controlar su crédito durante todo el año, en lugar de obtener los tres informes a la vez.

Escanee su informe en busca de  disminuciones repentinas o inexplicables del puntaje de crédito y otras pruebas de posible robo de identidad, como la aparición de una nueva línea de crédito que no abrió.

10. Considere la posibilidad de registrarse para recibir protección o supervisión continua

Después de aprovechar al máximo cualquier membresía o prueba gratuita ofrecida por la organización comprometida, evalúe los pros y los contras de pagar por el monitoreo de crédito continuo  o la protección contra el robo de identidad.

Si simplemente desea controlar su puntaje de crédito, un servicio gratuito de monitoreo de crédito como Credit Sesame  puede ser todo lo que necesita. Para una protección más sólida y completa contra el robo de identidad, considere un servicio pago como IdentityGuard , que incluye características que los servicios gratuitos no ofrecen, como informes detallados de administración de riesgos, herramientas para una navegación web más segura y  escaneo de la web oscura .

11. Considere la posibilidad de utilizar un servicio de exploración de la Dark Web

Es muy probable que su información esté en algún lugar de la web oscura. La pregunta es, ¿qué se está haciendo con él?

Si bien un escaneo de la web oscura no es completo, puede revelar si alguno de sus datos personales ha caído en las manos equivocadas o está en peligro de hacerlo. No tiene que pagar por este conocimiento; Experian  ofrece un escaneo web oscuro gratuito por única vez, por ejemplo. Algunos expertos cuestionan el valor de un escaneo de la web oscura, según AZ Central . Pero es casi seguro que es mejor que nada, especialmente cuando no tiene que pagar por ello.

12. Informe de inmediato la actividad sospechosa de la cuenta

Recuerde: no es la violación de datos en sí de lo que debe preocuparse; es lo que sucede a continuación. Muy a menudo, se trata de una serie de esfuerzos concertados para robar su identidad. Por ejemplo, los ciberdelincuentes  que han puesto sus manos en las direcciones de correo electrónico de los clientes pueden hacerse pasar por la organización comprometida en sofisticados correos electrónicos de phishing solicitando números de cuenta o credenciales de inicio de sesión. O pueden enviarle enlaces maliciosos que infectan su computadora con malware.

Informe todos y cada uno de los intentos de comprometer aún más sus datos o finanzas a la organización afectada. Las empresas a veces establecen canales dedicados a la denuncia de abusos después de infracciones importantes. Capital One creó inmediatamente la dirección de correo electrónico abuse@capitalone.com.

Del mismo modo, si descubre alguna actividad sospechosa a través de un servicio de monitoreo de crédito, en su informe de crédito, a partir de una alerta de fraude de la agencia de crédito o al revisar el extracto de su tarjeta de crédito, infórmelo inmediatamente a su banco o emisor de la tarjeta de crédito. Si la actividad sospechosa involucra una tarjeta de crédito, el emisor debe cancelar y volver a emitir la tarjeta de inmediato.

Los bancos y las uniones de crédito generalmente tienen políticas de fraude de responsabilidad cero que revierten o reembolsan transacciones de débito no autorizadas. Pero es posible que tenga que pagar una parte de los cargos, hasta $ 500, si espera más de dos días hábiles para notificar a su banco. La Oficina de Protección Financiera del Consumidor  tiene una descripción más detallada de sus derechos bajo la ley.

Para ser claros, no tiene que esperar noticias de una filtración de datos para informar actividades sospechosas en sus cuentas. Los cargos de cuenta no autorizados, las comunicaciones incompletas de personas que pueden o no estar asociadas con su institución financiera y otros posibles casos de actividad fraudulenta siempre justifican la denuncia. Pero debe estar especialmente atento a raíz de una violación de datos divulgada.

13. Congele su informe de crédito

Si no tiene planes de solicitar crédito pronto, considere congelar su crédito en cada una de las tres principales oficinas de informes crediticios. Al igual que las alertas de fraude, las congelaciones de crédito se pueden aplicar y eliminar de forma gratuita. Sin embargo, las oficinas no tienen que notificarse entre sí cuando colocas una congelación, por lo que deberás contactar a cada una directamente.

Mientras su crédito esté congelado, los acreedores no pueden obtener su informe crediticio. Eso significa que no puede abrir nuevas cuentas de tarjetas de crédito, solicitar una hipoteca o obtener un préstamo personal, ni tampoco los ladrones de identidad.

La Comisión Federal de Comercio  tiene más información sobre cómo funcionan los congelamientos de crédito y en qué se diferencian de los bloqueos de crédito, que pueden conllevar tarifas mensuales.

14. Esté atento a las señales de que su identidad ha sido robada

El riesgo de robo de identidad aumenta drásticamente a raíz de una violación de datos. Según IdentityGuard , casi una de cada cinco víctimas de violación de datos notificadas sufre posteriormente el robo de identidad.

Aprenda a detectar posibles signos de robo de identidad, como:

• Facturas por servicios que nunca solicitó
• Ser rechazado o cobrado más por el seguro médico debido a condiciones que no tiene
• Reclamaciones de seguros rechazadas debido a reclamaciones recientes que no hizo
• Ya no recibo facturas importantes
• Notificaciones inesperadas de cambio de dirección de acreedores o beneficiarios
• Retiros inesperados de cuentas bancarias o cargos de tarjetas de crédito
• Notificación del IRS de que se presentó más de una declaración de impuestos a su nombre para el año fiscal más reciente
• Alertas de autenticación de dos factores (como códigos numéricos enviados por SMS) que no solicitó
• Solicitudes de crédito rechazadas por mal crédito

Si detecta alguno de estos signos, esto es lo que debe hacer si sospecha que es víctima de un robo de identidad .

15. Reclame su parte de cualquier acuerdo por incumplimiento

Los términos del acuerdo por incumplimiento de Equifax requerían que la agencia proporcionara hasta 10 años de monitoreo de crédito gratuito o $ 125 en efectivo a los clientes con cobertura de monitoreo de crédito existente. Puede que eso no sea suficiente para hacer rico a nadie, pero de todos modos es un buen gesto.

Si una violación de datos conduce a una demanda colectiva, es posible que tenga derecho a una indemnización por daños y perjuicios como parte de esa clase. Los miembros de la clase elegibles a menudo, pero no siempre, reciben una notificación oficial por correo de su elegibilidad. Aquellos que se unen a la demanda están sujetos a los términos del eventual acuerdo, mientras que aquellos que optan por no participar son libres de buscar otros recursos legales. Si cree que puede estar en una clase para la que no ha recibido una notificación oficial, consulte un recurso de terceros sin costo, como Consumer Action .

Conclusiones finales

En un ciclo de noticias acelerado por las redes sociales y las notificaciones automáticas y distorsionado por la desinformación y las noticias falsas , mantenerse al día con los eventos actuales es una tarea abrumadora. Pero algunas de las historias de última hora que cruzan su escritorio virtual hoy podrían afectar sus finanzas personales o su bienestar mañana.

Vale la pena dedicar unos minutos a prestar atención a los informes de una importante filtración de datos. Si ha tenido alguna asociación con la organización comprometida, por débil que sea, es muy probable que se vea afectado.

Si ese es el caso, tome medidas para mitigar el daño. Montar una respuesta efectiva a una violación de datos corporativos es principalmente una cuestión de diligencia y vigilancia, y vale la pena dedicar tiempo a garantizar que su información esté protegida.