Helvetia Caser confirma la brecha en un correo firmado por su CEO: datos personales y bancarios de clientes expuestos

Helvetia Caser ha confirmado lo que ya se temía: han sufrido una importante brecha de seguridad. La aseguradora admite de forma oficial, en un correo electrónico enviado a sus clientes, que este incidente expone datos personales y números de cuentas bancarias.

El mensaje, firmado por el CEO de la compañía, Juan M. Estallo Lasheras, aclara que el ataque no vulneró los sistemas propios de la aseguradora. El acceso no autorizado se produjo a través de los servidores de un proveedor externo que no ha sido identificado.

A pesar de esta externalización, la responsabilidad legal de proteger esa información bancaria sigue recayendo sobre Helvetia Caser frente a sus asegurados. Así lo estipulan las normativas actuales de protección de datos cuando hay información sensible de por medio.

Qué información ha quedado expuesta

Aunque la empresa no detalla cifras exactas en su comunicado, el actor de amenazas que anunció la venta de los datos en foros clandestinos (la zona de internet conocida como Dark Web) afirma que la base de datos afecta a más de 2,5 millones de usuarios.

Entre la información comprometida se encuentran datos muy precisos que abren la puerta a que los usuarios sufran posibles estafas o suplantaciones de identidad. Según admite la propia aseguradora, la filtración incluye:

• Datos de clientes: datos identificativos y de contacto, así como números de cuentas bancarias (códigos IBAN y BIC).

El actor de amenazas, por su parte, afirma disponer de información más amplia:

• Datos de clientes (versión del atacante): NIF, nombres completos, direcciones físicas, números de teléfono, e-mails y fechas de nacimiento.
• Datos de empleados: usuarios, correos corporativos e identificadores internos de la propia plantilla.

Choque de versiones sobre los plazos legales

La aseguradora sostiene en su correo que, tras detectar la intrusión, activó los protocolos de seguridad de forma inmediata. Además, asegura haber notificado el incidente a las autoridades pertinentes dentro de los plazos legalmente establecidos.

Sin embargo, esta afirmación choca con la versión del actor de amenazas conocido como Jenk. El ciberdelincuente amenazó con denunciar a la empresa ante la Agencia Española de Protección de Datos (AEPD), alegando que habían superado el límite de 72 horas para notificar la brecha mientras mantenían negociaciones con él.

Llamamiento a la precaución ante intentos de estafa

En su comunicación directa, Helvetia avisa a sus clientes del riesgo real de sufrir campañas de fraude a raíz de esta sustracción masiva de datos. Piden extremar las precauciones ante la recepción de cualquier SMS, llamada o e-mail sospechoso.

Esta técnica fraudulenta se basa en que los atacantes usan datos reales para hacerse pasar por el banco o la aseguradora y engañar al usuario mediante correos electrónicos, SMS o llamadas telefónicas. La compañía ha habilitado un canal de atención telefónica exclusivo para resolver dudas relacionadas con el incidente.