Lo que la Superintendencia te pediría en una inspección, siempre al día.

Tipo de Vulneración

Confidencialidad

Vector de Ataque

Phishing / Ingeniería social

Descripción de la vulneración

Un asesor de crédito ingresó sus credenciales en un sitio falso que imitaba el inicio de sesión del correo corporativo. El atacante entró al buzón desde una IP extranjera, creó una regla de reenvío y reenvió al exterior 37 correos con solicitudes de crédito adjuntas. Se detectó cuando el asesor reportó el correo sospechoso.

Nombre de la Empresa o Institución

Cooperativa de Ahorro y Crédito Demostración Ltda.

Sector

Privado

Tipo de Entidad

Actividades Financieras

Afectados por la vulneración

312 socios y solicitantes de crédito cuyas solicitudes estaban en los correos reenviados. No hay empresas ni otras organizaciones afectadas.

Componentes tecnológicos vulnerados

Buzón de correo electrónico corporativo de un asesor de crédito (servicio de correo en la nube). No se comprometieron el core financiero ni las bases de datos.

Causa probable del incidente o vulneración

Factor humano: phishing con un sitio falso de inicio de sesión. Factor técnico: la cuenta no tenía doble verificación (MFA), que la delegada había recomendado y seguía sin aprobarse.

Tipo de datos comprometidos

Simples, Financiero

Cantidad de titulares afectados

Entre 100 y 1.000

Tamaño de la base de datos o archivos comprometidos

Menor de 100GB

Medidas tomadas y acciones planificadas.

Contraseña restablecida, sesiones cerradas y regla de reenvío eliminada el mismo día. Doble verificación (MFA) obligatoria para todo el personal de crédito. Revisión de reglas de reenvío en todos los buzones. Aviso a los socios afectados con recomendaciones contra fraude. Planificado: capacitación contra phishing al área de crédito en 30 días.

Evaluación de riesgo

Riesgo alto para los titulares: los datos financieros (monto solicitado y capacidad de pago) junto con nombre y cédula permiten fraude o suplantación. No había datos sensibles ni de grupos vulnerables. Los datos no estaban cifrados.

Nombres y Apellidos

Responsable de protección de datos

Correo electrónico

protecciondedatos@coacdemostracion.ec

Se envía por el SISPDP: Cumplo deja el borrador, no notifica por la cooperativa.