Un regulador de Estados Unidos ha multado al proveedor de tarjetas de crédito Capital One Financial Corp con $ 80 millones por la violación de datos del año pasado que expuso la información personal de más de 100 millones de solicitantes de tarjetas de crédito de los estadounidenses.
La multa fue establecida por la Oficina del Contralor de la Moneda (OCC), una oficina independiente dentro del Departamento del Tesoro de los Estados Unidos que rige la ejecución de las leyes relacionadas con los bancos nacionales.
Según un comunicado de prensa publicado por la OCC el jueves, Capital One no logró establecer una gestión de riesgos adecuada antes de migrar sus operaciones de TI a un servicio público basado en la nube, que incluía el diseño e implementación apropiados de ciertos controles de seguridad de red, controles adecuados de prevención de pérdida de datos y disposición efectiva de alertas.
La OCC también dijo que el proveedor de la tarjeta de crédito también dejó numerosas debilidades en su almacenamiento de datos basado en la nube en una auditoría interna en 2015 y que no corrigió las vulnerabilidades de seguridad, violando las «Pautas interinstitucionales que establecen estándares de seguridad de la información», que todos los bancos de EE. UU. debe cumplir.
Estas prácticas de seguridad inseguras y deficientes dieron como resultado una violación masiva de datos el año pasado cuando un solo pirata informático pudo robar información de tarjetas de crédito de más de 106 millones de clientes de Capital One.
Además de la información de la tarjeta de crédito, el pirata informático también logró robar aproximadamente 140 000 números de la Seguridad Social y 80 000 números de cuentas bancarias vinculadas a clientes de EE. UU. y 1 millón de números de la Seguridad Social de Canadá.
El pirata informático, identificado como la ex empleada de servicios web de Amazon Paige Thompson, también conocida como errática, de 33 años, fue arrestado luego de la violación y acusado de fraude y abuso informático, lo que conlleva hasta cinco años de prisión y una multa de $ 250,000.
La violación ocurrió después de que Thompson supuestamente explotó un firewall mal configurado en el servidor en la nube de Amazon Web Services de Capital One en marzo y robó sin autorización más de 700 carpetas de datos almacenados en ese servidor.
Además de la multa monetaria civil de 80 millones de dólares, la OCC también ordenó a Capital One Finance que mejore sus defensas de seguridad cibernética y presente un plan a la OCC dentro de los 90 días que describe cómo pretende hacerlo.
