Banco Santander comunicó este jueves a la Comisión Nacional del Mercado de Valores (CNMV) que había sufrido un robo de datos de clientes, trabajadores y exempleados en España, Chile y Uruguay. Fuentes financieras explican que este robo ha afectado en su gran mayoría a los trabajadores. De hecho, las mismas fuentes aseguran que solo ha afectado a clientes concretos. 

El banco ya ha comunicado que se ha puesto en contacto con ellos para explicar lo sucedido. De hecho, la entidad presidida por Ana Botín no está haciendo un comunicado a todos los clientes, sino que ha ido uno por uno a los clientes concretos. No obstante, las fuentes insisten en que los trabajadores han sido los más afectados por la situación. 

El cliente afectado tendrá una notificación en su aplicación o recibirá un correo electrónico. El banco comunica que no deben hacer nada y aprovechan el comunicado para recordarle la seguridad del banco. Es decir, les informa de que no tienen que dar ningún dato personal, ni claves por internet ni por teléfono. 

A pesar de la importancia de este ciberataque, fuentes conocedoras aseguran que por el momento no ha habido filtración de estos datos a terceros. Este ataque se ha producido a través de un acceso no autorizado a una base de datos. Asimismo, fuentes financieras apuntan a que este ciberataque no ha sido un secuestro de datos, es decir, no ha sido un ransomware

Desde el banco aseguraron en el comunicado que ha hecho el banco a la CNMV que en esa base de datos no hay información transaccional ni credenciales de acceso o contraseñas de banca por internet que permitan operar con el banco. Es decir, el robo son datos personales, pero no de movimientos, de recibos, ni de posiciones bancarias. 

Asimismo, el banco aseguró que las operaciones y los sistemas de Santander no están afectados y los clientes pueden seguir operando con seguridad.

Desde la entidad presidida por Ana Botín lamentan la situación y afirman que están informando "proactivamente" a los clientes y empleados directamente afectados. Además, han notificado oportunamente a reguladores y fuerzas de seguridad, y "continuaremos colaborando con ellos".

La entidad está trabajando con Policía Nacional y Guardia Civil en esclarecer los hechos, aunque no confirma ni desmiente si el Instituto Nacional de Ciberseguridad (Incibe) o el Centro Criptológico Nacional (CCN), dependiente del CNI, están también involucrados en las pesquisas.

La celeridad del Santander en comunicar la incidencia no es casual. Las entidades financieras tienen la obligación de informar a las autoridades regulatorias de cualquier tipo de incidente informático. De no hacerlo, se expone a multas millonarias.

Fuentes financieras explican que este ciberataque afecta a la imagen de la entidad, aunque reconocen que la rápida comunicación e informar de manera inmediata a los clientes puede hacer que esa imagen no se vea tan afectada.

OCU ha advertido de un "posible uso de datos personales" en operaciones "fraudulentas", especialmente a través de correos electrónicos, SMS o llamadas de teléfono que suplantan la identidad de empresas u organismos "con el fin de conseguir los datos bancarios y realizar cargos a costa del consumidor". OCU recuerda, además, que "ningún pago" que un usuario realice bajo los efectos de un engaño "podrá ser considerado como autorizado" y, por tanto, "deberá ser reembolsado de forma automática" por la entidad bancaria.

Al respecto, señala que la Autoridad Bancaria Europea (EBA por sus siglas en inglés) define como fraudulentas las transacciones de pago no autorizadas, así como también aquellas en las que "se manipuló al pagador" para admitir una orden de pago. De hecho, argumenta también que el Código Civil, en su artículo 1.265 y siguientes, considera que el consentimiento "será nulo si se presta por error".

"OCU exige al Banco de España que sancione a aquellas entidades financieras que, una vez informadas del fraude, nieguen el reembolso automático del dinero sustraído. La Organización considera que la carga de la prueba no debe recaer en el consumidor, sino en los proveedores de servicios de pago, que son quienes tienen las herramientas para prevenir y limitar los fraudes, como la verificación del IBAN con el nombre del beneficiario o los protocolos KYC", concluye.