Casi todas las brechas sobre las que escribimos afectan a los clientes de una empresa. Esta afecta a su personal. Si tienes empleados en Florida, buena parte de ellos, o de sus hijos, solicitaron en algún momento ayuda estatal para la universidad, y sus números de Seguro Social estaban en el sistema que fue vulnerado.
Qué pasó
El aviso del departamento es breve. "El 19 de octubre, el personal del DOE se enteró de un incidente de filtración de datos que involucra acceso criminal no autorizado al sitio de ayuda financiera", dice, y el departamento "activó de inmediato sus protocolos de respuesta de ciberseguridad" para detener la actividad y asegurar sus sistemas. Reportó la brecha a la oficina del Fiscal General de Florida, como exige la ley estatal, y trabaja con el servicio digital del estado y con su agencia de aplicación de la ley.
Pasaron diez días entre el descubrimiento y el anuncio público del 29 de octubre. El departamento se ha negado a decir cómo entró el atacante o quién fue. Para entonces el sitio de ayuda financiera estaba caído, con un aviso de que estaba "en mantenimiento y estará disponible pronto".
La guía del departamento a los estudiantes es tranquilizadora en un punto: la ayuda financiera actual no está en riesgo, y el incidente no retrasará pagos, colegiaturas ni la elegibilidad para becas y subsidios. Lo que todavía no ofrece es la ayuda habitual para las personas cuyos números de identidad quedaron expuestos. No hay oferta de monitoreo de crédito, no hay línea telefónica, y el único contacto es un correo electrónico, [email protected].
Es la segunda gran brecha de una dependencia de gobierno en Florida este año, después de la de la agencia estatal de vehículos el mes anterior. No se ha reportado ninguna relación entre ambas.
Por qué debería importarle a una empresa
Tus empleados están en esto. El portal ha sido durante años la vía para la ayuda universitaria estatal de Florida, incluida Bright Futures. Cualquiera de tu personal que haya estudiado la universidad en Florida, o cuyos hijos lo hayan hecho o estén por hacerlo, puede estar entre los 4.9 millones. Muchos hacen la solicitud cuando todavía están en la preparatoria, así que es muy probable que algunos de los afectados fueran menores de edad cuando se recopilaron sus datos.
Los números de Seguro Social no caducan. Una contraseña filtrada se puede cambiar. Un número de Seguro Social filtrado, junto con nombre, fecha de nacimiento y domicilio, basta para abrir crédito a nombre de alguien, presentar una declaración de impuestos fraudulenta o solicitar beneficios, y sigue siendo útil para los delincuentes de por vida. Un joven cuyo número quedó expuesto puede no darse cuenta de que se está usando hasta que solicite su primer préstamo o tarjeta de crédito, años después.
El phishing viene después de las brechas. Listas como esta se usan para hacer creíbles los mensajes de estafa. Espera correos y mensajes de texto a tu personal que mencionen ayuda financiera, Bright Futures, reembolsos o "verificar tu identidad" a raíz de la brecha. Un mensaje que ya conoce el nombre, el domicilio y la fecha de nacimiento de alguien es mucho más convincente que uno que no.
La misma exposición existe en tus propios registros. La mayoría de las empresas guardan los números de Seguro Social de cada empleado que han tenido, en la nómina, los sistemas de recursos humanos, los formularios fiscales y hojas de cálculo viejas. Las preguntas que esta brecha plantea a una dependencia estatal te aplican a menor escala: desde cuándo los guardas, quién puede llegar a ellos y cómo le avisarías a la gente si se filtraran.
Qué hacer en concreto
Avísale a tu personal. Una nota corta que diga qué pasó y qué hacer es un buen gesto y no cuesta nada. Mucha gente no verá el anuncio del departamento.
Recomienda congelar el crédito. Congelar el crédito en los tres burós (Equifax, Experian y TransUnion) es gratis y es la protección más efectiva contra que alguien abra crédito nuevo a nombre de una persona. Los padres también pueden congelar el crédito de sus hijos menores de 16 años. IdentityTheft.gov, de la FTC, tiene instrucciones para ambos casos, y los reportes de crédito gratuitos están en AnnualCreditReport.com.
Sugiere un PIN de protección de identidad del IRS. Cualquiera puede obtener uno del IRS. Impide que otra persona presente una declaración de impuestos con su número de Seguro Social.
Advierte sobre las estafas que vienen. Nadie del Departamento de Educación, de un programa de becas ni de un buró de crédito va a pedir un número de Seguro Social, una contraseña o un pago por correo o mensaje de texto. Pide a tu personal que entre directamente a los sitios oficiales en lugar de seguir enlaces.
Revisa el rastro de números de Seguro Social en tu empresa. Averigua dónde guarda tu empresa los números de Seguro Social de empleados actuales y anteriores, borra los que ya no estés obligado a conservar y asegúrate de que el resto esté en un sistema con acceso restringido, no en hojas de cálculo ni en correos.
El resumen
El Departamento de Educación de Florida no ha dicho cómo vulneraron su portal de ayuda financiera, y quizá tarde en hacerlo. Lo que ya está claro es que se expusieron los números de Seguro Social de hasta 4.9 millones de personas, que a los afectados se les dijo que se protejan, y que todavía nadie les ha ofrecido ayuda para hacerlo.
Si tienes empleados en Florida, un mensaje corto a tu personal esta semana, recomendando congelar el crédito y advirtiendo sobre las estafas que vienen después, ayudará a más de ellos que cualquier cosa que haya hecho hasta ahora el aviso de la brecha.
Fuentes
- Data breach notice and FAQ — Departamento de Educación de Florida
- Florida warns 5 million affected by financial aid site breach — The Record
- 4.9M students potentially affected by Florida student aid portal hack — Miami Herald, vía GovTech
- Florida Department of Education warns of data breach affecting nearly 5 million people — Fox 13
- Florida Department of Education financial aid website data breach — CBS Miami
- IdentityTheft.gov: data breaches — Comisión Federal de Comercio de EE. UU.
