El origen de la intrusión aún no está confirmado. BYOD afirma que accedió mediante un troyano de acceso remoto instalado en el equipo de un empleado de Liberty Mobile, el operador que respalda a Trump Mobile. Otras versiones apuntan a una vulnerabilidad del propio sitio web de la empresa, reportada a principios de año y que la compañía dijo haber corregido. Aun sin certeza, la sola posibilidad de que el acceso se haya producido a través de un tercero muestra que una empresa puede quedar expuesta por las vulnerabilidades de sus proveedores, incluso cuando no administra directamente toda su infraestructura tecnológica.
¿Qué ocurre cuando la vulnerabilidad no está en la empresa, sino en uno de sus proveedores? En Colombia, la Ley 1581 de 2012 exige a los responsables del tratamiento garantizar la seguridad de los datos personales. También les exige pedir a sus encargados que respeten las condiciones de seguridad y privacidad de la información. Los encargados tienen, a su vez, deberes propios de seguridad. Unos y otros deben informar a la SIC cuando se presenten violaciones a los códigos de seguridad.
El caso recuerda que tercerizar servicios no significa desentenderse de la protección de los datos. Para gestionar estos riesgos es fundamental supervisar a los proveedores y establecer obligaciones contractuales claras sobre seguridad y notificación de incidentes. También lo es contar con protocolos efectivos de respuesta a incidentes.
