Filtración de datos de Decisely 2024

En el incidente de Decisely de 2024, los tipos de datos que podrían estar en riesgo son el nombre y los apellidos, la fecha de nacimiento, el número de teléfono, el número de pasaporte, la firma digital, el número de Seguro Social y la información de cuentas financieras. Dado que los comunicados de la organización mencionan información personal e información de salud protegida, el incidente también implica un riesgo para los registros sensibles relacionados con las prestaciones y la salud. Sin embargo, no se han incluido como categorías de datos otros campos que no figuran expresamente en esta ficha, como el seguro médico.

Los números de Seguro Social y de pasaporte son datos de identidad permanentes, por lo que pueden utilizarse indebidamente en solicitudes de crédito, aperturas de cuentas falsas, fraudes en trámites oficiales y procesos de verificación de identidad. Las firmas digitales son datos sensibles que pueden utilizarse para dar apariencia de autenticidad a documentos o autorizaciones falsos. Las personas cuya información de cuentas financieras esté implicada deben vigilar cuidadosamente las operaciones bancarias, las órdenes de pago automático y las solicitudes de modificación de cuentas. Los números de teléfono y las fechas de nacimiento, cuando se combinan con otros datos, generan riesgos adicionales de fraude dirigido y en los procesos de verificación de identidad.

En esta ficha se utiliza el 16 de diciembre de 2024 como fecha de la filtración y el 17 de diciembre de 2024 como fecha de detección del incidente. Las notificaciones comenzaron alrededor del 13 de junio de 2025 y la cifra de personas aumentó posteriormente. Las primeras notificaciones sobre datos de salud divulgadas públicamente mencionaban a 65 405 personas, y la cifra de afectados de la actualización más reciente se ha comunicado como 537 603. Por ello, la ficha utiliza la cifra ampliada actual en lugar de la inicial; el texto indica claramente que no se trata de un recuento de registros, sino del número de personas afectadas en el marco del incidente.

Los tipos de datos pueden variar de una persona a otra. En algunos casos, podrían limitarse a campos como el nombre y el número de teléfono; en otros, podrían incluir números de Seguro Social, números de pasaporte, firmas digitales o información de cuentas financieras. La ficha se centra en el proceso de notificación realizado a través de los servicios propios de Decisely y de los propietarios de los datos relacionados. Dado que se ha denunciado una obtención no autorizada de datos del entorno de almacenamiento en la nube, el riesgo no se limita a la posibilidad de que alguien los haya consultado, sino que también incluye situaciones en las que podría haberse obtenido parte de la información.

El principal grupo en riesgo está formado por las pequeñas empresas a las que Decisely presta servicios, los empleadores, los proveedores de planes de prestaciones y las personas cuyos registros se tratan mediante procesos de recursos humanos y nóminas. Es posible que una persona no reconozca directamente el nombre Decisely, porque su registro podría haberse generado a través de su empleador, proveedor de prestaciones, servicio de jubilación, proceso de nómina o programa de salud o prestaciones. Por lo tanto, las personas notificadas deben tener en cuenta no solo si tienen una cuenta de Decisely, sino también la entidad para la que trabajan o han trabajado y su historial de planes de prestaciones.

Las personas cuyos datos incluyen un número de Seguro Social o de pasaporte corren un mayor riesgo de suplantación de identidad. Aquellas cuya información de cuentas financieras esté implicada deben revisar regularmente las operaciones bancarias y los pagos. Quienes se hayan visto afectados por la exposición de firmas digitales deben prestar atención a los formularios, documentos de autorización o solicitudes de modificación de cuentas emitidos en su nombre. Las personas cuyos datos incluyen un número de teléfono y una fecha de nacimiento deben tener precaución con las llamadas y los mensajes que afirmen proceder de empleadores o servicios de seguros, nóminas o jubilación, o que aleguen tener como fin actualizar las prestaciones.

Las personas que podrían haberse visto afectadas por la filtración de datos de Decisely de 2024 deben comprobar primero qué tipos de datos figuran en la notificación recibida. Si incluye un número de Seguro Social o de pasaporte, deben obtener un informe crediticio y considerar opciones como la congelación del crédito o una alerta de fraude. Si incluye información de cuentas financieras, deben supervisar regularmente las operaciones bancarias, las órdenes de pago automático y las aperturas de nuevas cuentas. Si una firma digital se ha visto afectada, también deben revisar las modificaciones de cuentas y las solicitudes de autorización.

Las personas cuyos números de teléfono y fechas de nacimiento sean conocidos no deben hacer clic en enlaces inesperados que lleguen con el pretexto de renovar prestaciones, completar formularios del empleador, corregir nóminas, gestionar planes de jubilación o proteger la identidad. Para las comunicaciones legítimas, deben utilizar los canales oficiales indicados en la notificación o conocidos por otros medios. Los empleados o exempleados deben aclarar con el departamento de recursos humanos de su empleador qué titular de los datos realizó la notificación y qué plan se ha visto afectado. Si existen riesgos financieros y de identidad al mismo tiempo, las medidas deben aplicarse de forma conjunta.

En este incidente, la protección debe mantenerse a largo plazo, ya que una misma notificación puede incluir datos de identidad, pasaporte, firma digital y cuentas financieras. Cambiar las contraseñas puede ser útil para las cuentas de prestaciones o nóminas; sin embargo, los números de Seguro Social, los números de pasaporte y las firmas digitales son datos permanentes o difíciles de cambiar. Los usuarios deben revisar sus informes crediticios periódicamente, tener presente el riesgo de solicitudes fraudulentas durante los periodos de declaración de impuestos y utilizar alertas para detectar de forma temprana la apertura de nuevas cuentas.

En el ámbito de los empleadores y los planes de prestaciones, deben revisarse cuidadosamente el periodo de inscripción abierta, los cambios en las nóminas, las aportaciones para la jubilación, los cambios de cuentas bancarias y las actualizaciones de información sobre personas dependientes. Los usuarios deben acceder al portal de su empleador directamente desde una dirección conocida y no deben considerar fiables los enlaces de correos electrónicos o mensajes por el mero hecho de recibirlos. En incidentes que implican a proveedores de servicios que operan en segundo plano, como Decisely, es posible que los usuarios no reconozcan el nombre de la empresa; por ello, deben evaluar conjuntamente el empleador, el propietario de los datos, la fecha y los tipos de datos mencionados en la notificación.

La consulta de registros de esta página permite al usuario ver registros de identidad, prestaciones, información financiera e información de salud protegida que podrían estar asociados con la filtración de datos de Decisely de 2024. Una coincidencia no significa que todos los tipos de datos enumerados hayan quedado expuestos para una misma persona. Los usuarios deben basarse en los campos indicados en su propia notificación y en la relación laboral o de prestaciones a través de la cual se vieron afectados.

Los usuarios para los que se encuentre una coincidencia deben dar prioridad a los riesgos de uso indebido persistente o difícil de frenar. Es importante revisar el crédito y los trámites oficiales cuando estén implicados números de Seguro Social y pasaportes, realizar comprobaciones bancarias en el caso de información de cuentas financieras, revisar autorizaciones y formularios en el caso de firmas digitales, y comprobar los registros de programas de prestaciones y salud cuando esté implicada información de salud protegida. La filtración de datos de Decisely de 2024 es un incidente importante de seguridad de datos de un tercero que muestra que los datos en poder de proveedores de prestaciones y recursos humanos que atienden a pequeñas empresas podrían generar riesgos individuales a gran escala.