CMF asegura que incidente fue informado el 10 de mayo e instruye entregar detalles

El incidente de ciberseguridad de Banco Santander no pasó inadvertido este martes en el mercado.

La Comisión para el Mercado Financiero (CMF) requirió a Santander Chile informar la profundidad de la afectación, las medidas que está tomando y dar detalles del ataque.

El regulador se encuentra monitoreando la operación de Santander Chile, luego de que “el viernes 10 de mayo la entidad informará a través del sistema de Reporte de Incidentes Operacionales de la CMF, la vulnerabilidad sufrida por Grupo San20tander España”.

Por su parte, el Sernac decidió oficiar al banco para que entregue detalles, incluyendo a qué datos personales de los consumidores se tuvo acceso: correo electrónico, teléfono u otros.

El regulador -encabezado por su presidenta, Solange Berstein- instruyó al banco reportar el detalle de las acciones que se han implementado para abordar la situación.

Datos personales

Por su parte, el Sernac ofició a Santander para que entregue un informe con detalles sobre cómo ocurrió el acceso no autorizado y a qué tipo de datos personales de los consumidores se tuvo acceso, como el correo electrónico, teléfono u otros.

“Sernac no descarta iniciar acciones colectivas o perseguir las indemnizaciones en favor de los consumidores” añadió.

En tanto, el coordinador nacional de Ciberseguridad, Daniel Álvarez, explicó a DF que, según el comunicado de Santander, el ataque consistió en que alguien tuvo acceso a las credenciales de un usuario legítimo del banco para ingresar a un espacio reservado de la empresa y extraer información confidencial. Agregó que el acceso pudo haber sido por medio de phishing (suplantación de identidad, usualmente a través de correos maliciosos) u otro tipo de ingeniería social.

“Hasta que no se sepa la naturaleza de la información que se filtró, es difícil hacer la clasificación de riesgos. Por eso, es importante que Banco Santander advierta sobre esto a sus clientes”, comentó.

Álvarez también detalló que, junto con notificar a la CMF, el banco también lo hizo al Equipo de Respuesta ante Incidentes de Seguridad Informática (CSIRT), aunque actualmente no tiene la obligación legal de hacerlo. “La Ley de Ciberseguridad todavía no entra en vigencia, estamos en vacancia legal” explicó, pero aseguró que “tomaron contacto con nosotros para, cuando tengan todos los antecedentes técnicos los compartan directamente”, señaló.

Añadió que están trabajando en seis reglamentos y un decreto con fuerza de ley para la entrada en vigencia de la ley y crear la Agencia Nacional de Ciberseguridad (ANCI). Tienen plazo hasta el 5 de octubre para ingresarlo a la Contraloría.