Esta postura, aunque técnicamente correcta en un modelo de responsabilidad compartida, ha generado debate. En un modelo de seguridad en la nube, el proveedor (en este caso, Snowflake) es responsable de la seguridad "de la nube" (infraestructura, software subyacente), mientras que el cliente es responsable de la seguridad "en la nube" (sus datos, configuraciones, control de acceso y autenticación). Sin embargo, muchos expertos señalan que, si bien la MFA estaba disponible, Snowflake no la forzaba por defecto a sus clientes, lo que podría haber mitigado el riesgo.
Expertos en ciberseguridad han respaldado en parte la posición de Snowflake, pero también han criticado la falta de una seguridad más proactiva por parte de los clientes. Brian Soby de AppOmni, por ejemplo, ha señalado que las empresas a menudo "no están incorporando la seguridad de sus aplicaciones SaaS en sus arquitecturas de seguridad". Por su parte, Jake Williams, un ex-hacker de la NSA, expresó cierta comprensión hacia Snowflake, indicando que, aunque las opciones de seguridad existían, la compañía no las hacía obligatorias. Johannes Ullrich del SANS Technology Institute enfatizó la necesidad crítica de "controles suficientes alrededor de los datos, incluyendo MFA o autenticación resistente a phishing", destacando que la brecha podría haberse evitado con mejores prácticas por parte de los clientes. La ausencia de estos controles se convirtió en la puerta abierta para la exfiltración masiva de datos sensibles.
Los datos hablan: El costo de la negligencia en ciberseguridad
Las cifras asociadas a la brecha de Snowflake son abrumadoras y revelan el devastador impacto de la negligencia en ciberseguridad. Más de 165 organizaciones fueron directamente afectadas, y la magnitud del robo de datos se mide en miles de millones de registros. La información comprometida es de naturaleza altamente sensible: desde extensos registros de llamadas y mensajes de texto hasta información bancaria y financiera, pasando por números de identificación de la DEA, licencias de conducir, pasaportes y números de seguro social.
El botín financiero para los hackers fue considerable, con pagos de rescate que superaron los $2.5 millones de dólares, una parte de la cual Moucka se embolsó personalmente. Pero el verdadero costo recae en las víctimas, con pérdidas estimadas en más de $9.5 millones de dólares, una cifra que probablemente seguirá creciendo debido a las multas regulatorias, los costos de remediación y el daño reputacional. La exposición de registros de más de 100 millones de personas es un golpe masivo a la privacidad global.
Entre los clientes de Snowflake más prominentes afectados se encuentran gigantes de la industria. Ticketmaster, por ejemplo, vio cómo aproximadamente 560 millones de registros de usuarios fueron ofrecidos a la venta en foros clandestinos. AT&T sufrió la exposición de registros de llamadas y mensajes de texto de más de 100 millones de sus clientes. Y, de manera particularmente relevante para nuestra región, Santander Bank confirmó la afectación de datos de 30 millones de clientes, incluyendo operaciones en España y, de manera crucial, en Latinoamérica, específicamente en Chile y Uruguay. Estos ejemplos no son meras estadísticas; representan un daño real y tangible a millones de individuos y a la integridad de grandes corporaciones.
Qué significa para Latinoamérica: Impacto y regulaciones
La brecha de datos de Snowflake es un recordatorio contundente de que la ciberseguridad es una preocupación global con repercusiones muy locales. Para Latinoamérica, el incidente con Santander Bank es un claro ejemplo de cómo estas vulnerabilidades pueden trascender fronteras. La confirmación de que la información de clientes en Chile y Uruguay fue comprometida subraya la creciente adopción de plataformas de datos en la nube por parte de grandes corporaciones en la región, y con ello, la imperativa necesidad de fortalecer las defensas cibernéticas.
Las empresas latinoamericanas no operan en un vacío regulatorio. Países como Brasil, con su Ley General de Protección de Datos (LGPD), México con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, y Argentina con la Ley de Protección de Datos Personales (Ley 25.326), han implementado marcos legales robustos. Un incidente de esta magnitud, que afecta a millones de registros personales, podría acarrear sanciones significativas para las empresas involucradas. Además, estas regulaciones a menudo exigen notificaciones obligatorias a las autoridades de protección de datos y a los usuarios afectados, lo que añade una capa de complejidad y costos a la respuesta ante incidentes. La afectación a Santander en Chile y Uruguay implica que estas empresas deberán responder bajo las regulaciones de protección de datos de dichos países, demostrando la interconexión entre la seguridad global de la nube y las obligaciones regulatorias regionales.
Este escenario enfatiza que la implementación de medidas de seguridad robustas, como la autenticación multifactor, no es solo una buena práctica, sino una necesidad crítica para cualquier empresa que maneje datos sensibles en la nube, especialmente aquellas con presencia o clientes en Latinoamérica. La "responsabilidad compartida" no es un concepto teórico; es una obligación práctica que, si se descuida, puede tener consecuencias devastadoras tanto para las organizaciones como para sus usuarios.
