CIRO, el regulador del sector de inversión canadiense, lamenta profundamente una brecha de seguridad que afectó a cientos de miles de inversores. La entidad se disculpa por cualquier inconveniente o preocupación que este incidente pueda haber causado, según un comunicado reciente.
CIRO explica que recopiló la información de los inversores en el curso normal de sus funciones regulatorias, destinadas a protegerlos contra prácticas de inversión inapropiadas, así como a través de sus actividades de investigación, evaluación de cumplimiento y regulación del mercado. Hasta el momento, no hay evidencia de que la información haya sido utilizada indebidamente.
La entidad asegura que no recopila detalles de inicio de sesión de cuentas, como contraseñas, preguntas de seguridad o números PIN, por lo que esta información no corrió riesgo. CIRO indica que elimina la información de los inversores una vez que ya no es necesaria para sus labores de investigación, evaluación de cumplimiento y supervisión del mercado, aunque no procesa solicitudes individuales de eliminación, según se detalla en su página de información para inversores afectados.
CIRO está contactando a los inversores afectados para informarles sobre el incidente y ofrecer dos años de monitoreo de crédito y protección contra el robo de identidad. Las notificaciones se enviarán por correo electrónico o postal a partir del miércoles, según el comunicado.
“Estamos comprometidos a hacer lo correcto por aquellos que se ven afectados personalmente”, declaró Andrew Kriegler, presidente y director ejecutivo de CIRO. “Tomamos muy en serio nuestro papel de interés público. La privacidad y la seguridad son extremadamente importantes para nosotros, al igual que nuestros valores organizacionales de transparencia y rendición de cuentas. Por eso, seguimos comprometidos con el fortalecimiento de nuestras propias defensas cibernéticas y prácticas de seguridad de datos, y con el apoyo a los esfuerzos continuos de la industria de inversión en general.”
La brecha, resultado de un ataque de phishing, fue detectada el 11 de agosto. Inicialmente, CIRO informó que se había comprometido información de registro, incluyendo datos personales de los registrados como direcciones, números de teléfono, y color de ojos y cabello. Todos los fondos mutuos, distribuidores de inversiones e individuos se vieron afectados, según indicó el regulador.
Las empresas miembro fueron notificadas originalmente sobre la brecha el 18 de agosto, y CIRO comenzó a enviar cartas a los registrados el 9 de septiembre para informarles que sus datos se habían visto comprometidos, según se informó.
CIRO enfrenta una posible acción colectiva derivada del incidente. La solicitud de acción colectiva, presentada ante el Tribunal Superior de Quebec el pasado octubre, se realiza en nombre de “todas las personas en Canadá cuya información personal o financiera fue custodiada por CIRO y se vio comprometida en la brecha de datos… o que recibieron un correo electrónico o carta de [CIRO] informándoles sobre dicha brecha de datos”.
En el comunicado del miércoles, CIRO confirma que cientos de miles de inversores también se vieron afectados por la brecha. La entidad asegura que “contuvo rápidamente el incidente y tomó medidas inmediatas” para asegurar sus sistemas y proteger los datos. “Notificamos a las fuerzas del orden y a todas las autoridades pertinentes, incluidas las comisiones de privacidad”, afirmó CIRO. “Se contrató a un investigador de TI forense de terceros líder para determinar qué información se vio afectada.”
Tras una investigación preliminar, el regulador “compartió inmediatamente” los hallazgos “públicamente y directamente” con las empresas miembro y los registrados. “En ese momento, señalamos que la investigación estaba en curso y nos comprometimos a compartir los hallazgos finales del proceso de descubrimiento electrónico una vez completada la revisión”, indicó CIRO. “Después de más de 9,000 horas de examen, ahora podemos confirmar la magnitud total del incidente.”
