Varios empleados no reciben su nómina tras intrusión en una empresa externa

¿Qué ha ocurrido?

Se puso en contacto con la Línea de Ayuda de Ciberseguridad, a través del teléfono gratuito y confidencial 017, una empleada de una pyme, miembro del Departamento de Recursos Humanos, debido a un incidente que habían sufrido.

Nos comentó que dos de los empleados de la empresa se habían puesto en contacto con su departamento al no haber recibido la última nómina. Sin embargo, ellos sí habían gestionado el pago.

Tras investigar qué había podido ocurrir, llegaron a la conclusión de que se habían modificado los datos bancarios dentro del portal del empleado interno de la empresa. Es por ello que el pago mensual había llegado a unas cuentas que no correspondían con las de los empleados.

Además, detectaron que se habían modificado los datos de las cuentas de varios empleados más y otros datos.  
Nos aseguró que su empresa había revisado sus sistemas y no había encontrado ninguna brecha de seguridad, por lo que sospechaban que la empresa externa que gestionaba el portal del empleado era la que podía haber sufrido un ataque.

Decidió recurrir a nosotros para que pudiéramos asesorarles sobre los pasos que debían llevar a cabo. 

¿Qué pautas le hemos dado?

Tras explicarle el ataque de intrusión del que habían sido víctimas, le facilitamos las siguientes pautas reactivas:

• Informar a todos los empleados sobre el ataque para que sean conscientes de la situación y puedan contrastar que la información que aparece en el portal del empleado es correcta. Además, deberán estar prevenidos ante futuros fraudes o ataques. 
• Informar a la AEPD sobre la filtración de los datos, a través de la herramienta Comunica Brecha, antes de que pasen 72 horas desde que se tiene constancia del incidente.
• Cambiar las contraseñas y establecer el doble factor de verificación, siempre que sea posible, de sus sistemas.
• Recabar todas las pruebas posibles y certificarlas con testigos online. 
• Interponer una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
• Con una copia de la denuncia, acudir a la entidad bancaria para intentar recuperar el dinero perdido durante la estafa. 
• En caso de recibir una negativa o no tener respuesta en 30 días, elevar la reclamación al Banco de España.

Sobre la empresa externa que gestiona el portal del empleado:

• Informarles de la situación para que puedan analizar sus sistemas e identificar posibles vulnerabilidades. 
• Facilitarles el contacto de nuestro servicio por si tuvieran alguna consulta o duda.
• Valorar interponer una reclamación si se ha incumplido alguna de las obligaciones contractuales, como no implementar las medidas de seguridad adecuadas o no haberles notificado la brecha de seguridad a tiempo.

Por último, le indicamos que ante cualquier duda que le pudiera surgir, podía volver a contar con el servicio Tu Ayuda en Ciberseguridad de INCIBE, todos los días del año de 8:00 a 23:00.