En un mundo en el que los ciberataques se multiplican y son cada vez más sofisticados, los denunciantes desempeñan un papel especial. Estas personas u organizaciones divulgan públicamente información sobre filtraciones de datos, a menudo sustraídos por los atacantes. Su objetivo principal es informar al público y a los usuarios que puedan verse afectados por estas fugas de datos. Sin embargo, su actuación plantea cuestiones complejas sobre los beneficios y los riesgos asociados a esta voluntad de informar a toda costa y de conseguir la primicia en nombre de la transparencia.

Vigilantes al servicio de los usuarios

Los denunciantes suelen actuar como centinelas, velando por que los usuarios estén informados de las filtraciones de sus datos personales. Sin su intervención, es probable que muchas empresas optaran por guardar silencio sobre los incidentes de seguridad, a pesar del RGPD, con el fin de proteger su reputación y evitar las consecuencias económicas —no siempre fáciles de cuantificar— derivadas de una pérdida de confianza de los clientes o de reclamaciones. 

Esta transparencia beneficia a los usuarios, ya que les permite tomar medidas para proteger su información personal, como cambiar sus contraseñas, informar a terceros —como su banco— o vigilar sus cuentas para detectar actividades sospechosas. Además, la divulgación pública permite mantener una cierta presión sobre las empresas para que mejoren sus prácticas y adopten medidas preventivas más sólidas.

Un juego peligroso con los ciberdelincuentes

Sin embargo, la difusión de información por parte de los denunciantes puede favorecer los intereses de los ciberdelincuentes. Al dar resonancia a los mensajes de las cibermafias, existe el riesgo de que se amplifique el impacto de los ataques, lo que puede agravar las dificultades a las que se enfrentan las empresas víctimas. Esta mayor visibilidad puede incitar a los ciberdelincuentes a intensificar sus actividades, sabiendo que sus acciones recibirán una amplia cobertura mediática.

Además, la publicación prematura de detalles sobre un ciberataque puede obstaculizar los esfuerzos de los equipos de seguridad para contener el incidente y llevar a cabo una investigación eficaz. Las empresas pueden verse desbordadas por la gestión de su comunicación de crisis y de su imagen, en lugar de centrarse en la resolución técnica del problema.

El dilema del momento oportuno y la búsqueda de visibilidad

El momento de la comunicación es el núcleo de esta problemática. Los denunciantes suelen estar motivados por la necesidad de actuar con rapidez, buscando ser los primeros en revelar la información para maximizar su visibilidad y generar interacción en las redes sociales. Esta carrera por la exclusividad puede perjudicar los esfuerzos de gestión de crisis de las empresas y complicar la situación para todas las partes implicadas.

Si los denunciantes esperaran a que se resolviera la crisis antes de comunicar la información, podrían proporcionar datos más precisos y contextualizados, sin comprometer los esfuerzos de corrección. Sin embargo, el modelo económico basado en captar la atención, la inmediatez y la interacción rápida no favorece este enfoque más mesurado.

En conclusión

El papel de los denunciantes en materia de ciberseguridad es complejo y ambivalente. Su actuación puede parecer que no tanto subsana una laguna provocada por la falta de una regulación eficaz, sino que más bien supone una interpretación laxa de la misma, obligando a las empresas a comunicar con honestidad los incidentes cibernéticos. Sin embargo, el modelo económico que les empuja a divulgar rápidamente información sensible puede considerarse en ocasiones perjudicial y contraproducente.

Quizá sea el momento de replantearse el marco normativo que regula la divulgación de incidentes de ciberseguridad o de eliminar las zonas grises de la normativa vigente. Al establecer normas claras sobre el uso de la información procedente de la darknet e imponer obligaciones de transparencia a las empresas, sería posible proteger los intereses de los usuarios y, al mismo tiempo, minimizar los riesgos para las empresas. 

Es deseable una colaboración más estrecha entre los reguladores, las empresas y los denunciantes para fomentar un entorno digital más seguro y responsable, evitando al mismo tiempo los efectos boomerang.