Atendí el teléfono de soporte de una fintech durante cinco años. Escuché de todo. Pero lo que más me marcó fue la llamada de una óptica que no era la de Marta. La dueña me dijo, con la voz rota: “Me robaron la base de datos de clientes. Tengo los nombres, los DNI, los teléfonos y los datos de las obras sociales de 400 personas. Y no sé ni cómo pasó”.
No lo había subido a la nube. Lo tenía en un Excel en la PC del local. Un día abrió un mail que decía “Factura pendiente”, hizo clic, y al rato le pidieron un rescate para devolverle el archivo. No pagó. Pero perdió todo.
Si te pasó algo así, o tenés miedo de que pase, te voy a dar los pasos exactos. En orden. Sin chamuyo.
Primero: no toques nada (y cortá el acceso)
Si te acabás de dar cuenta de que filtraron la base de datos de tus clientes, lo primero es no entrar en pánico. Pero sí actuar rápido.
Desconectá de internet la computadora o el servidor donde estaba la base. Si era un Excel en la PC del negocio, sacá el cable de red o apagá el WiFi. Si era un sistema en la nube, cambiale la contraseña desde otro dispositivo que no esté infectado.
No borres nada. No formatees. Los peritos informáticos (si llegás a necesitar uno) trabajan sobre la evidencia. Si borrás, perdés la chance de saber cómo entraron.
Segundo: avisá a tus clientes ya
Acá viene lo que nadie quiere hacer: llamar o mandar un mensaje a cada cliente cuyos datos se filtraron.
No es para asustarlos. Es para que estén alerta. Deciles algo como: “Tuvimos un incidente de seguridad y tus datos personales (nombre, DNI, teléfono) pueden haber quedado expuestos. Te recomendamos que no respondas mails ni llamadas pidiéndote información bancaria o códigos. Estamos trabajando para solucionarlo”.
Si no sabés exactamente qué datos se filtraron, asumí lo peor: nombre, DNI, dirección, teléfono, mail, datos de pago. Mejor prevenir.
Y sí, es incómodo. Pero es más incómodo que un cliente caiga en una estafa porque vos no le avisaste.
Tercero: denunciá en la AAIP y en la unidad de delitos informáticos
En Argentina, la Agencia de Acceso a la Información Pública (AAIP) es el organismo que regula la protección de datos personales. Si hubo una filtración, tenés que reportarlo. No es optativo: la ley de protección de datos personales (25.326) exige que informes las vulneraciones.
Además, hacé la denuncia penal en la unidad fiscal especializada en ciberdelincuencia (UFECI) de tu provincia o en la comisaría más cercana. Llevá toda la evidencia que tengas: capturas de pantalla, logs, el mail que abriste, lo que sea.
No te garantiza que recuperen los datos, pero deja constancia. Y si el responsable aparece, vos ya hiciste tu parte.
Cuarto: revisá cómo entraron y cerrá la puerta
Las filtraciones en pymes argentinas suelen pasar por tres razones:
- Un mail de phishing: alguien del equipo hizo clic donde no debía. Revisá los correos de los últimos días. Si ves algo raro (facturas de proveedores que no pediste, links acortados, errores de ortografía), ese puede ser el origen.
- Contraseñas débiles o compartidas: si la base estaba protegida con “1234” o “admin”, no hacía falta ser hacker. Usá un gestor de contraseñas para generar claves fuertes y únicas.
- Falta de backups: si tenías una copia de seguridad actualizada, el daño era mucho menor. Aprendé de esto y aplicá ya la regla 3-2-1.
No importa cuál fue la causa: una vez que sepas, solucionalo antes de volver a operar. Si no cerrás la puerta, van a entrar de nuevo.
Quinto: poné orden para que no vuelva a pasar
Una vez que apagaste el incendio, sentate y armá un plan. No hace falta que sea un documento de 50 páginas. Con esto alcanza:
- Separá los datos de clientes del acceso del equipo. No todos necesitan ver la base completa. Usá permisos: el vendedor ve nombres y teléfonos, no los DNI ni las tarjetas.
- Activá el doble factor en todas las cuentas que manejen datos sensibles. Si no sabés cómo, acá tenés la guía paso a paso.
- Capacitá a tu equipo. Una vez al mes, mandales un video corto o un mensaje con una estafa nueva que esté circulando. Que sepan que no tienen que abrir mails raros ni compartir claves por WhatsApp.
Mirá, la seguridad de una pyme no es cara, es ordenada. Esto no se resuelve comprando un software de 500 dólares al mes. Se resuelve con hábitos.
¿Tengo que avisar a la AAIP aunque sea una pyme chica?
Sí. La ley aplica a todos los que manejen datos personales, sin importar el tamaño del negocio. Si tenés una base con nombres, DNI, teléfonos o mails de clientes, estás obligado a reportar la filtración. Hacelo a través del formulario de incidentes de seguridad en la web de la AAIP.
¿Qué hago si no sé exactamente qué datos se filtraron?
Asumí lo peor. Si el archivo tenía nombre, DNI, teléfono, dirección y datos de pago, dale por sentado que todo eso está expuesto. Avisá a tus clientes con esa premisa y recomendales que estén atentos a llamadas o mails sospechosos.
¿Puedo recuperar los datos si me los robaron con un ransomware?
Depende. Si tenés un backup actualizado, sí: restaurás desde la copia y listo. Si no tenés backup, la única opción es pagar el rescate, pero no te lo recomiendo: no hay garantía de que te devuelvan los datos y además estás financiando a delincuentes. Por eso los backups son tan importantes.
¿Un antivirus me hubiera salvado?
Puede ayudar, pero no es suficiente. La mayoría de las filtraciones en pymes empiezan con un error humano: un clic en un mail falso, una contraseña débil, un Excel compartido sin protección. El antivirus no te cubre eso. Lo que te cubre es el orden: contraseñas fuertes, doble factor, backups y capacitación del equipo.
¿Cuánto tiempo tengo para reportar la filtración?
La ley no establece un plazo exacto en días, pero cuanto antes, mejor. Idealmente, dentro de las 72 horas de haberlo descubierto. Si pasó más tiempo, igual reportalo: es mejor tarde que nunca.
Esta semana, sentate 20 minutos y revisá tres cosas: si tenés un backup actualizado, si el doble factor está activado en las cuentas clave, y si tu equipo sabe reconocer un mail de phishing. No esperes a que te pase a vos. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
