Padrón de afiliados filtrado: contención y aviso

Ante la filtración de un padrón de afiliados, las primeras 48 horas se dedican a contener el acceso, preservar evidencia y evaluar el riesgo para las personas. El aviso se envía cuando hay hechos verificados: qué datos, qué periodo, qué se ha hecho y qué debe hacer el afiliado.

Un padrón de afiliados es una base de datos de alto valor y bajo blindaje típico: nombre completo, documento de identidad, domicilio, teléfono, correo, a veces cuenta bancaria de la cuota y, en federaciones deportivas o colegios profesionales, datos de salud o de habilitación profesional. Todo eso junto, en un solo fichero, en manos de una organización que rara vez tiene equipo técnico propio.

Este artículo cruza las dos mitades del problema, porque en la práctica ocurren a la vez: la contención de ingeniería y la comunicación con criterio jurídico. Separarlas es el error que convierte un incidente en una crisis.

¿Qué se hace en las primeras 48 horas?

La secuencia siguiente ordena tareas por dependencia, no por importancia. Todas importan; algunas no pueden empezar hasta que otras terminan.

Ventana	Objetivo	Acciones
Horas 0-2	Detener la hemorragia sin destruir prueba	Aislar el sistema afectado de la red, revocar sesiones activas y tokens, forzar rotación de credenciales privilegiadas, congelar la rotación de registros
Horas 2-8	Saber qué pasó	Copia forense de discos y registros, revisión de accesos y consultas a la base de datos, identificación del vector y del periodo de exposición
Horas 8-24	Delimitar el alcance	Qué campos, qué número de registros, qué periodo, si hubo exfiltración efectiva o solo acceso, si el dato circula ya en foros o canales cerrados
Horas 24-48	Decidir y comunicar	Evaluación de riesgo para las personas, notificación a la autoridad si procede, borrador del aviso a afiliados, activación del canal de atención

Tres precisiones que marcan la diferencia.

Aislar no es apagar. Apagar un servidor destruye memoria volátil y, con ella, buena parte de la evidencia sobre qué proceso hizo qué. Se aísla en red y se preserva el estado. La referencia metodológica estándar es NIST SP 800-61 Rev. 3, que estructura la respuesta a incidentes alineada con el marco CSF 2.0.

La rotación de registros es enemiga de la investigación. Muchos sistemas conservan registros de acceso solo unos días. Si nadie los congela en la hora uno, en la hora cuarenta ya no existen y el alcance se vuelve indemostrable.

"No sabemos" es un resultado válido a las 24 horas; a las 48 ya no. Si transcurridas 48 horas sigue sin poder delimitarse el alcance, eso en sí mismo es un hecho relevante para la evaluación de riesgo y debe reflejarse tal cual.

¿Cómo se evalúa el riesgo real para los afiliados?

La evaluación no es una impresión: es un análisis con criterios repetibles. Estos son los que se aplican.

• Tipo de dato. No es lo mismo un listado de correos que un padrón con documento de identidad y domicilio. Los datos que permiten suplantar identidad elevan el riesgo de forma inmediata.
• Categorías especiales. Datos de salud, afiliación sindical, convicciones o datos de menores cambian por completo la evaluación. En un gremio, la propia pertenencia puede ser el dato sensible.
• Volumen y granularidad. Cien registros completos pesan más que cien mil correos sueltos.
• Facilidad de identificación. Si el fichero permite identificar directamente a la persona sin cruzar con nada más, el riesgo sube.
• Estado del dato. Cifrado con clave no comprometida, seudonimizado, o en claro. Es la variable que más frecuentemente reduce el riesgo, y la que más frecuentemente se afirma sin poder demostrarse.
• Circulación. Un dato publicado en un canal abierto tiene un perfil de daño distinto al de un acceso interno indebido y contenido.

La Guía para la notificación de brechas de datos personales de la AEPD desarrolla estos criterios con ejemplos y es utilizable como referencia metodológica incluso cuando la ley aplicable no es europea. Los artículos 33 y 34 del Reglamento (UE) 2016/679 fijan las dos obligaciones distintas: notificar a la autoridad de control y comunicar a los interesados. Confundirlas es habitual y tiene consecuencias.

¿Cuál es la diferencia entre notificar a la autoridad y avisar a los afiliados?

Notificación a la autoridad de control. Procede cuando la brecha puede suponer un riesgo para los derechos y libertades de las personas. En el marco del RGPD el plazo es sin dilación indebida y, de ser posible, dentro de las 72 horas desde el conocimiento. Se admite notificación por fases si no se dispone de toda la información. La Agencia Española de Protección de Datos habilita el procedimiento electrónico para esa notificación.

Comunicación a los interesados. Procede cuando el riesgo es alto. Es un umbral distinto y más exigente. Puede no ser necesaria si los datos eran ininteligibles para terceros —por ejemplo, cifrados con claves no comprometidas— o si se han tomado medidas posteriores que evitan que el alto riesgo se materialice.

Fuera del ámbito europeo, el plazo y el umbral dependen de la norma aplicable, y en organizaciones con afiliados en varios países pueden convivir varios regímenes sobre el mismo incidente. Lo primero que se determina, antes de redactar nada, es qué leyes rigen ese tratamiento. Es el trabajo que describimos en servicios: compliance.

¿Cómo se redacta el aviso sin agravar el daño?

Un aviso a afiliados tiene tres funciones simultáneas: informar de forma útil, cumplir una obligación legal y no crear una responsabilidad que la investigación aún no ha confirmado. Se consigue con estructura, no con adjetivos.

Estructura recomendada, en este orden:

1. Qué ha ocurrido, en una frase, sin tecnicismos ni eufemismos.
2. Qué datos están afectados, enumerados campo a campo, y cuáles se ha confirmado que no lo están.
3. Cuándo ocurrió y cuándo se detectó. Dos fechas distintas; ocultar la diferencia siempre sale mal.
4. Qué se ha hecho ya, en pasado y con hechos concretos.
5. Qué debe hacer la persona, con instrucciones accionables y priorizadas.
6. Dónde preguntar, con un canal que exista de verdad y esté atendido.

Qué evitar, y por qué:

Formulación frecuente	Problema	Alternativa
"Un ataque sofisticado sin precedentes"	Prejuzga la causa y suena a excusa	"Un acceso no autorizado al sistema de gestión de afiliados"
"Sus datos están completamente seguros"	Es incompatible con el hecho de estar enviando el aviso	"Hemos revocado el acceso y rotado las credenciales del sistema afectado"
"Lamentamos este fallo por el que asumimos toda responsabilidad"	Calificación jurídica antes de cerrar la investigación	"Estamos investigando el origen del incidente y actualizaremos esta comunicación"
"No se han visto comprometidos datos sensibles"	Afirmación absoluta que puede desmentirse mañana	"Con la información disponible a fecha de hoy, no consta acceso a los campos X e Y"
Un enlace a un dominio nuevo creado para el incidente	Entrena a la gente a confiar en dominios desconocidos justo cuando habrá phishing	Página en el dominio institucional de siempre

Ese último punto es el más ignorado y el más peligroso. Después de una filtración de padrón, los afiliados reciben phishing dirigido en cuestión de días, porque quien tiene el fichero conoce nombre, gremio y contexto. Si el aviso legítimo llega desde un dominio recién registrado, la organización ha entrenado a sus propios afiliados para caer.

¿Qué controles evitan que el padrón vuelva a salir?

La contención cierra el incidente. Lo que evita el siguiente es otra cosa.

• Minimización real. La mayoría de los padrones contienen campos que nadie usa desde hace años. El dato que no está no se filtra.
• Acceso por rol y no por confianza. El personal administrativo no necesita exportar el padrón completo; necesita consultar registros individuales.
• Control de exportación masiva. Alerta cuando una cuenta descarga más registros de los que su función justifica. Es el control que más veces habría detectado la fuga antes de que fuera pública.
• Registro de acceso conservado el tiempo suficiente. Sin registros no hay alcance demostrable, y sin alcance demostrable la comunicación debe asumir el peor caso.
• Autenticación resistente al phishing en las cuentas con acceso al padrón: es el vector de entrada más común y el más barato de cerrar. Lo detallamos en MFA resistente al phishing: por qué el SMS ya no basta.
• Cifrado con gestión de claves separada. Cifrar con la clave guardada junto al dato no reduce el riesgo en una intrusión; solo lo aparenta.

El detalle sectorial —padrones, credenciales de acceso, cuotas y registro conforme— está en sectores: federaciones, gremios y asociaciones, y el alcance técnico del pilar en servicios: protección.

¿Cómo se preserva la evidencia para lo que venga después?

Un incidente de padrón termina, casi siempre, en algún procedimiento: una inspección, una reclamación de un afiliado, o una discusión con el proveedor tecnológico sobre quién incumplió qué. Lo que se pueda demostrar dentro de dieciocho meses depende de lo que se selle esta semana.

• Copias forenses con cadena de custodia documentada: quién la hizo, cuándo, con qué herramienta y con qué huella.
• Exportación de registros antes de la rotación, con su huella criptográfica calculada en el momento.
• Registro cronológico de decisiones, incluida la motivación de no comunicar si se decide no comunicar.
• Sellado temporal independiente de los artefactos clave. Con Veritas UGC el hash SHA-256 de cada archivo se ancla en Bitcoin mediante OpenTimestamps, de forma que la fecha y la integridad se verifican con software libre sin depender de nosotros.

El mismo criterio de custodia aplica a otros sectores con dato sensible; el caso clínico lo tratamos en Historia clínica en la nube: controles que sí importan.

Qué hacer ahora

1. Comprueba hoy cuántos días de registros de acceso conserva el sistema donde vive el padrón. Si son menos de noventa, tienes un problema de investigabilidad antes que de seguridad.
2. Escribe el árbol de decisión de notificación —autoridad, interesados, ambos, ninguno— con los criterios y con nombre y apellidos de quién decide.
3. Prepara la plantilla del aviso ahora, en frío. Redactar bajo presión a las 40 horas es cuando aparecen las frases que luego se citan en contra.
4. Revisa qué campos del padrón no se usan y elimínalos con criterio documentado de retención.
5. Ensaya una vez el aislamiento del sistema y la copia forense, con cronómetro.

Si quieres una revisión del padrón, del circuito de acceso y del procedimiento de notificación —técnico y jurídico en el mismo documento—, escríbenos desde /contacto. El estado real de nuestros marcos y controles está publicado, con etiqueta honesta, en /trust.