Pocket Bitcoin, proveedor suizo de servicios financieros de Bitcoin, reveló que un incidente de seguridad ocurrido en agosto expuso información personal y financiera de más de 5.400 clientes, incluyendo datos bancarios y, en un número menor de casos, registros más sensibles.

Según información publicada por @WuBlockchain, Pocket Bitcoin afirmó que los datos de 5.120 clientes quedaron expuestos en el incidente. La información afectada incluía nombres, direcciones, montos y fechas de transferencias bancarias, y algunos registros también contenían números IBAN.

Otros 291 clientes sufrieron la exposición de información más sensible. Según la empresa, estos datos podían incluir documentos de identidad, comprobantes de origen de fondos, direcciones de Bitcoin y domicilios. Registros de este tipo suelen ser recopilados por empresas financieras de criptomonedas reguladas para cumplir con los requisitos de prevención de lavado de dinero y de conocimiento del cliente (KYC), razón por la cual incluso las firmas que nunca tocan las claves privadas de sus clientes manejan grandes volúmenes de datos personales sensibles.

Las bases de datos de clientes y transacciones no fueron comprometidas, según la empresa

Pocket Bitcoin afirmó que sus bases de datos de clientes y transacciones no fueron comprometidas durante el incidente. En cambio, la información expuesta provenía de correspondencia bancaria y listas de transacciones almacenadas en el sistema de soporte afectado de la compañía.

La distinción es significativa porque, según la empresa, el incidente no involucró las bases de datos centrales que contienen los registros de transacciones de los clientes. Pocket Bitcoin también señaló que los fondos en Bitcoin y las claves privadas no resultaron afectados. Pocket Bitcoin opera un modelo en el que los clientes compran Bitcoin a través de la plataforma y lo mantienen en autocustodia, lo que significa que la empresa no administra las claves privadas de sus clientes, un diseño que limita la exposición financiera directa de una filtración como esta a datos personales y no a fondos.

La compañía indicó que actualmente no hay señales de que la información expuesta haya sido utilizada indebidamente. Sin embargo, la divulgación de información bancaria, domicilios y comprobantes de origen de fondos podría generar riesgos potenciales de privacidad y seguridad para los clientes afectados, especialmente si la información se combina posteriormente con datos obtenidos de otras fuentes.

Notificación a autoridades de protección de datos y a la policía

Pocket Bitcoin afirmó que reportó el incidente a las autoridades de protección de datos de Suiza y Liechtenstein, así como a la policía. La divulgación a los reguladores de este tipo se alinea con las obligaciones que enfrentan las empresas bajo la ley suiza de protección de datos, que desde su revisión de 2023 exige notificar las filtraciones que involucran datos personales en numerosas circunstancias, así como con el Reglamento General de Protección de Datos de la Unión Europea, que aplica a empresas con clientes de la UE y generalmente exige notificar las filtraciones que califiquen dentro de un plazo de 72 horas.

La respuesta ubica el incidente dentro del enfoque regulatorio más amplio sobre ciberseguridad y protección de datos personales en el sector de servicios financieros. Las empresas de criptomonedas que manejan información bancaria y registros de identidad enfrentan riesgos adicionales, porque los datos personales comprometidos pueden usarse potencialmente para fraude, ingeniería social o ataques dirigidos, incluso cuando los activos digitales y las claves privadas permanecen seguros. Incidentes similares en otras firmas de criptomonedas, incluyendo filtraciones a nivel de exchanges que expusieron registros de identidad de clientes, han demostrado que las filtraciones de solo datos pueden causar igualmente un daño significativo a los clientes y perjudicar la reputación.

Por ello, el enfoque inmediato de Pocket Bitcoin y de los clientes afectados será determinar el alcance completo de la información expuesta y monitorear si surge algún uso indebido tras la divulgación.

Fuente: Hokanews