Datos de clientes robados y web hackeada: ¿quién es el responsable legal y contractual?

En vez de buscar culpables ahora mismo, haced estos tres pasos ya: 1) Si no han pasado las 72h, enviad notificación previa a la autoridad de protección de datos. 2) Sacad un snapshot del servidor para congelar pruebas, ni se os ocurra formatear. 3) Hablad con un abogado experto en derecho informático.

En los contratos estándar de las agencias suele haber una cláusula tipo "no nos hacemos responsables de fallos de seguridad en plugins de terceros". Por 350 EUR al mes es muy raro que hayan firmado una garantía total de pentesting y vulnerabilidades. Lo más seguro es que los costes legales superen la indemnización que le saques a la agencia.

Pasamos por algo parecido hace dos años. Nos gastamos 4.800 EUR en el peritaje forense y 3.200 EUR en el abogado. La agencia de protección de datos no nos multó porque notificamos a tiempo y fuimos transparentes, solo nos dieron un apercibimiento. La demanda a la agencia duró 14 meses y acabó en un acuerdo parcial.

Hay que diferenciar bien: En la relación externa (Estado y clientes afectados) el responsable eres solo tú. En la interna entra tu contrato con la agencia. Si ni siquiera firmasteis un contrato de encargo de tratamiento (AVV) con la agencia, la autoridad te puede sancionar además por encargar el tratamiento sin contrato.

Cuando nos pasó a nosotros, la agencia dijo "ha sido un ataque por fuerza bruta al servidor, nuestro código está limpio". Contratamos a un perito independiente y resulta q no habían forzado el 2FA en el panel de admin y llevaban 6 meses sin parchear un fallo conocido en un formulario. Al presentarles el informe, su seguro de responsabilidad civil profesional cubrió la mitad del destrozo.

¿Teníais especificada la frecuencia de actualizaciones en el contrato? ¿Tipo "los parches críticos se aplican en 48 horas"? Y otra cosa: ¿las contraseñas y datos de la base de datos estaban cifrados/hasheados con salt o iban en texto plano?

el triángulo de siempre: La agencia le echa la culpa al servidor, el servidor al desarrollador del plugin, y el desarrollador del plugin está desaparecido. la factura siempre le cae al dueño del dominio y id llamando al abogado.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Estoy de acuerdo. Intentar hacerlo solo es la vía más cara.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola. Por supuesto, cambia si tu situación es diferente.

Estoy siguiendo esto.

A mí me pasó justo al revés por eso escribo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Esta es mi opinión, no lo escribo como una verdad absoluta.

si lo ves como un proceso, el panorama cambia. la verdad no tengáis miedo de preguntar quien no pregunta siempre paga más caro.

si escribís el resultado aquí también servirá de ayuda a otros.

no sabía eso.

En teoría es correcto, pero en la práctica no funciona así. o sea todo lo que no está por escrito ambas partes lo recordarán de forma distinta en el futuro.

Ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar. Espero que le sea útil.

La discusión se ha dispersado, voy a ordenarla. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Espero que le sea útil.

Han surgido tres opiniones distintas, todas se complementan. La respuesta varía mucho según el sector, no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

Gracias por escribir esto, es lo correcto. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Lo dejo como nota, por si sirve.

Estoy de acuerdo. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Estoy siguiendo esto.