La noticia ha sacudido el sector asegurador estadounidense: el Departamento de Servicios Financieros de Nueva York -DFS, por sus siglas en inglés- ha impuesto sanciones millonarias a ocho compañías de seguros de automóvil tras detectar vulnerabilidades en sus sistemas digitales que permitieron el acceso no autorizado a datos sensibles de los clientes.
Entre la información expuesta se encontraban números de licencia de conducir y fechas de nacimiento, obtenidos a través de aplicaciones web y portales de agentes utilizados para ofrecer presupuestos online.
Según el comunicado oficial, las aseguradoras no cumplieron con la normativa de ciberseguridad vigente en el estado, que exige mantener políticas, procedimientos y controles adecuados para proteger tanto los sistemas como la información de los consumidores.
La investigación reveló que los fallos no solo facilitaron el acceso indebido a datos, sino que también se omitieron medidas básicas como el cifrado de información -para que, en cao de que sea filtrada no tenga ninguna utilidad- o la autenticación robusta en los puntos de entrada digital -por ejemplo, recurriendo a un ‘doble filtro’ que puede consistir en un código PIN y una clave que el usuario recibe en su móvil en el momento de llevar a cabo una gestión-.
Además de las multas, las compañías implicadas entre ellas Liberty Mutual, Farmers Insurance y Hartford Fire Insurance se han comprometido a implementar acciones correctivas, como auditorías internas y revisiones de sus protocolos de acceso a datos. El DFS ha subrayado que este tipo de sanciones buscan reforzar la cultura de ciberseguridad en el sector financiero y asegurador, y que seguirán vigilando el cumplimiento normativo con especial atención a los canales digitales.
Este caso plantea interrogantes relevantes para el mercado europeo, donde el Reglamento General de Protección de Datos -RGPD- ya establece obligaciones similares en cuanto a la custodia de información personal. Aunque las multas en Europa pueden alcanzar cifras aún más elevadas -hasta el 4% de la facturación global de una empresa-, lo ocurrido en Nueva York pone el foco en un segmento que a menudo queda fuera del radar: los sistemas de presupuestado y cotización online –que son habituales para ofrecer a los clientes una aproximación al precio de un producto concreto-, que manejan datos sensibles sin que el usuario final siempre sea consciente de los riesgos.
En España, la Agencia Española de Protección de Datos -AEPD- ha intensificado sus inspecciones en sectores con alta exposición digital, y no sería descabellado pensar que casos como el de Nueva York puedan inspirar acciones similares. De hecho, cabe recordar que este mismo año, tal y como nos recuerdan los expertos del Área Técnica de la empresa tecnológica EUROCYBCAR -cuya CEO y fundadora es Azucena Hernández-, el grupo de ciberdelincuentes conocido como RIPDIM0 reivindicó un ciberataque contra Línea Directa en España, dando como resultado la supuesta sustracción de una base de datos que contiene información personal de clientes y empleados, incluyendo nombres completos, fechas de nacimiento, números de teléfono, direcciones de correo electrónico y físicas…
Para conocer más ‘casos reales’ de ciberataques o investigaciones sobre ciberseguridad, lo mejor es acceder a la web de EUROCYBCAR; que cuenta con una de las mayores bases de datos de los últimos 13 años.
La digitalización de todo lo relacionado con el mundo del seguro del automóvil, con apps, comparadores y plataformas de contratación, exige una vigilancia constante y una inversión decidida en ciberseguridad.
