Las estafas y las filtraciones de datos han venido en aumento en los últimos años y sus efectos económicos y sociales se han sentido ampliamente en la sociedad costarricense.
Es por eso que, ante la posible exposición y circulación de datos personales de ciudadanos costarricenses en espacios de la dark web, situación que se encuentra bajo investigación de las autoridades competentes, la Cámara de Tecnologías de la Información y Comunicación (Camtic) hace un llamado a la ciudadanía, a las entidades financieras y a todas las organizaciones que recopilan, administran o procesan información personal, para que refuercen sus medidas de prevención, vigilancia y respuesta.
Esta situación evidencia un riesgo que debe atenderse de manera preventiva, pues la información personal expuesta puede ser utilizada para construir llamadas, mensajes y solicitudes fraudulentas altamente creíbles.
Un delincuente podría conocer el nombre, número de identificación, teléfono, dirección, lugar de trabajo, información crediticia, relaciones familiares u otros datos de una persona.
Sin embargo, que alguien conozca esos datos no demuestra que sea quien dice ser.
Camtic recomienda a la ciudadanía:
- Desconfiar de llamadas, mensajes o correos no solicitados, aunque la persona conozca información personal.
- No compartir contraseñas, PIN, códigos de seguridad, tokens ni códigos de un solo uso.
- No aprobar notificaciones de autenticación que no hayan sido iniciadas por el propio usuario.
- Finalizar cualquier comunicación sospechosa y contactar directamente a la organización mediante sus canales oficiales.
- Activar alertas de transacciones y revisar periódicamente cuentas bancarias, correos electrónicos y servicios digitales.
- Verificar cualquier cambio de número telefónico, correo, contraseña, límites transaccionales o dispositivo asociado.
- Utilizar contraseñas distintas para cada servicio y activar autenticación multifactor cuando esté disponible.
- Reportar oportunamente cualquier actividad sospechosa a la entidad correspondiente.
Camtic recomienda a las organizaciones:
Los datos personales no deben ser utilizados como prueba suficiente de identidad. Las organizaciones deben revisar los procesos de autenticación, recuperación de credenciales, cambio de teléfono o correo, sustitución de tokens, incorporación de dispositivos y modificación de límites o beneficiarios.
En el caso de las entidades financieras supervisadas, el Acuerdo SUGEF 5-26, vigente desde el 11 de septiembre de 2026, establece controles mínimos para prevenir y mitigar estafas informáticas, entre ellos mecanismos robustos de autenticación, doble factor en operaciones y trámites de riesgo, alertas oportunas y análisis de transacciones y comportamientos atípicos.
La biometría puede formar parte de una estrategia de autenticación, pero no es infalible ni debería utilizarse como único control. Debe combinarse con otros factores, señales de riesgo, controles de dispositivo y mecanismos de detección de suplantación.
Asimismo, Camtic insta a las organizaciones a:
- Revisar la necesidad, finalidad y plazo de conservación de los datos personales.
- Aplicar cifrado, segmentación, mínimo privilegio y monitoreo continuo.
- Evaluar los controles de proveedores y terceros con acceso a información.
- Detectar consultas o extracciones masivas de datos.
- Mantener planes de respuesta a incidentes y análisis forense.
- Fortalecer la prevención del fraude, la protección de identidad y los mecanismos de atención a las personas potencialmente afectadas.
- Revisar y actualizar los protocolos de autenticación de usuarios y clientes.
La protección frente a las estafas digitales no debe recaer exclusivamente en el usuario. Requiere una responsabilidad compartida entre ciudadanía, organizaciones, proveedores tecnológicos, entidades financieras, autoridades y reguladores.
Un dato personal puede contribuir a identificar a una persona, pero conocer ese dato no demuestra que quien lo presenta sea realmente esa persona.
Camtic reitera su disposición a colaborar con las autoridades, el sector financiero y las organizaciones nacionales en la promoción de buenas prácticas de ciberseguridad, protección de datos personales, identidad digital y prevención del fraude.