SERVICIOS FINANCIEROS · CASO ENTIDAD BANCARIA
«¿Cómo reaccionar a un ciberataque hecho público sin agravar la pérdida de confianza?»
Caso realizado para una entidad bancaria europea frente a un ciberataque confirmado con exposición de datos de clientes.
EL CONTEXTO
Una brecha técnica confirmada: en una ventana temporal que se cierra en horas.
Una entidad bancaria europea había sufrido un ataque informático logrado sobre un sistema periférico que contenía datos de contabilidad analítica de varios miles de clientes profesionales. El ataque había sido detectado internamente 36 horas después de la intrusión, con la exfiltración confirmada de una base de 22.000 perfiles de clientes (nombre, empresa, saldos pendientes, historial de movimientos). La dirección jurídica y la dirección de ciberseguridad habían estabilizado técnicamente el incidente en 12 horas adicionales.
Quedaba la cuestión de la comunicación. El incidente estaba cubierto por una obligación legal de notificación a las personas concernidas y a las autoridades competentes en un plazo de 72 horas. El banco debía decidir entre varios escenarios de comunicación pública: comunicación proactiva antes de la obligación legal, comunicación al estricto mínimo legal, comunicación extendida al conjunto de la clientela incluso no afectada, o comunicación diferenciada por tipología de clientes afectados.
La dirección de crisis movilizó nuestro sistema con una restricción temporal severa: 12 horas para iluminar una decisión que comprometería la trayectoria reputacional durante varios trimestres.
LA INVESTIGACIÓN
Cuatro insights que orientaron la estrategia de comunicación.
La transparencia total en las primeras 24 horas restaura la confianza.
Nuestro sistema proyectó que la transparencia total en las primeras 24 horas, comunicación más allá de la obligación legal, precisión sobre los datos expuestos, medidas de protección desplegadas, compromiso de contribuir a un servicio de vigilancia para los clientes afectados, restauraba la confianza en +28 pts respecto al escenario de silencio a la espera. El coste operativo de esa transparencia quedaba compensado por la reducción del riesgo de exposición mediática secundaria en los meses siguientes.
La transparencia parcial es estructuralmente peor que el silencio.
Contraintuitivamente, un escenario de transparencia parcial (comunicación mínima con precisión limitada sobre los datos concernidos) genera una percepción más negativa que el silencio total. Los clientes detectan las omisiones cruzando informaciones mediáticas y las leen como una admisión implícita, reprochando al mismo tiempo la opacidad activa. La percepción de la dirección se degrada 42 pts en el escenario de transparencia parcial, frente a 18 pts en el escenario de silencio, y gana 28 pts en el escenario de transparencia total.
La ventana tolerada es de 48 horas: no de 72.
Aunque la obligación legal se extiende a 72 horas, nuestro sistema identificó que la ventana de aceptabilidad percibida por los clientes era de 48 horas. Más allá, cada hora adicional degrada la percepción de competencia de la entidad de 3 a 4 puntos por día, independientemente del contenido posterior de la comunicación. La comunicación debe entregarse dentro de esa ventana, aunque sea más corta y anuncie una comunicación complementaria posterior.
El compromiso con medidas visibles de protección cuenta más que las disculpas.
Nuestro sistema probó varios registros de comunicación. Un registro centrado en las disculpas genera un 34 % de percepción positiva. Un registro centrado en las medidas de protección desplegadas (vigilancia reforzada de las cuentas afectadas, reembolso automático en caso de intento de fraude, contacto humano proactivo) genera un 68 % de percepción positiva. Los clientes bancarios esperan hechos más que palabras en las crisis de seguridad.
EL MÉTODO
Cómo construimos la investigación en 8 horas.
Nuestro sistema reconstruyó una población sintética de 480.000 clientes particulares y profesionales de la entidad, calibrada sobre los segmentos propietarios del banco y sobre las encuestas públicas postincidente del sector bancario europeo. La población se estructuró en 14 tipologías cruzando la exposición al incidente, el tipo de cliente, la sensibilidad al riesgo digital y la antigüedad en la entidad.
Nuestro sistema entrevistó a 2.800 clientes sintéticos sobre los 5 escenarios de comunicación probados, con repreguntas dinámicas sobre los puntos de fricción identificados en tiempo real (registro de comunicación, timing, nivel de detalle, compromisos de protección). Las entrevistas se condujeron en 800 hilos de cálculo en paralelo para comprimir el equivalente de tres semanas de trabajo humano en menos de cinco minutos de cálculo, con restitución completa al comité de crisis en las 8 horas siguientes a la movilización.
EL DESPLIEGUE
Lo que se decidió, lo que ocurrió.
El banco retuvo el escenario de transparencia total a las 40 horas del incidente, con una comunicación diferenciada por tipología de clientes afectados, un compromiso de vigilancia reforzada durante 12 meses para los 22.000 clientes concernidos, y un contacto humano proactivo en las 48 horas siguientes a la comunicación pública. La comunicación fue asumida por el director general en persona, en un registro humano y responsable.
A 3 meses, la pérdida de confianza medida es de −4 pts (frente a una proyección de −18 pts en el escenario de transparencia parcial y de −24 pts en el escenario de silencio prolongado). La tasa de abandono de los 22.000 clientes afectados es del 3,2 % (frente a una proyección sectorial del 14 % en un escenario opaco). Ningún movimiento mediático duradero emergió tras la ola inicial, y la entidad recibió un reconocimiento positivo de la autoridad de control sobre la calidad de su respuesta de comunicación.
- CONFIANZA RESTAURADA A 3 MESES
- +28 ptsvs la proyección del escenario de silencio
- COSTE DE ESPERAR MÁS ALLÁ DE 48 H
- +42 %de degradación por día adicional
- ABANDONO DE LOS CLIENTES AFECTADOS
- 3,2 %vs proyección sectorial del 14 %
- PÉRDIDA DE CONFIANZA MEDIDA
- −4 ptsvs −24 pts en silencio prolongado
- TIEMPO DE RESTITUCIÓN DE LA INVESTIGACIÓN
- 8 horasde la movilización al entregable
LAS LECCIONES
Dos principios transponibles a las crisis de seguridad informática.
La transparencia parcial es el peor escenario en una crisis ciber: peor que el silencio.
Este caso confirmó una dinámica estructural de las crisis de seguridad informática: la transparencia parcial, elegida a menudo por prudencia jurídica, se percibe como más dañina que el silencio total o que la transparencia completa. Los clientes detectan las omisiones y pierden la confianza en la palabra institucional, sin que la entidad obtenga la protección jurídica buscada. Este principio implica un arbitraje claro entre comunicación completa y silencio a la espera, sin zona gris intermedia.
La ventana de aceptabilidad en una crisis ciber es estructuralmente inferior al plazo legal.
La obligación legal de notificación (72 horas en el marco del RGPD) es un techo, no un objetivo. Las ventanas de aceptabilidad percibidas por los clientes son estructuralmente más cortas (48 horas típicamente). Este desfase debe integrarse en la preparación de los planes de respuesta a crisis ciber, con equipos formados para producir comunicaciones de calidad en plazos comprimidos.
EMPEZAR
¿Prepara usted su plan de respuesta a crisis ciber?
Los planes de respuesta a crisis ciber, preparación previa, ejercicios de simulación, calibración de las comunicaciones de crisis, comparten mecánicas comunes con este caso. Una restricción temporal severa, el arbitraje entre transparencia y opacidad, una ventana de aceptabilidad estructuralmente corta, el peso de los compromisos de protección desplegados. Cada incidente es singular, pero las palancas de análisis y de preparación son transponibles.
Los agentes dinámicos delimitan con usted los parámetros de una simulación adaptada a su situación, antes de la decisión. Del brief inicial al primer entregable, cuente entre 20 y 30 minutos, según la complejidad del caso y la amplitud de las poblaciones a modelizar.