Siete datos —nombre, departamento, número de empleado, número de teléfono móvil, teléfono interno, correo electrónico y cargo— de más de 24.000 empleados de Korea Electric Power Corporation (한국전력공사, 한전; KEPCO) quedaron expuestos en una web externa. KEPCO tuvo conocimiento de ello hacia las 15:59 del 1 de octubre. Según las informaciones, los datos fueron borrados de la web cerca de la medianoche que daba paso al 3 de octubre, unas 32 horas después de que la empresa supiera de la exposición. Aún no se han esclarecido la causa de la exposición ni si hubo daños secundarios reales.

Antecedentes y contexto

Los datos expuestos no eran información de identificación única, como el número de registro de residente, ni información sensible, sino datos vinculados a la identidad, el departamento y las comunicaciones laborales de los empleados. KEPCO explicó que tampoco quedaron expuestos los datos de clientes que administra en un sistema específico independiente. Este dato es importante para determinar el alcance de la exposición, pero no resta importancia al hecho de que información de los empleados quedara publicada en una web externa.

KEPCO afirmó que, tras conocer la exposición, bloqueó el acceso a los sistemas internos relacionados con los datos personales de los empleados y solicitó a la empresa operadora de la web externa que los borrara. Sin embargo, la eliminación tardó unas 32 horas.

KEPCO informó del incidente a la Comisión de Protección de Información Personal (개인정보보호위원회) hacia las 13:22 del 4 de octubre y estableció un centro de coordinación integral para responder a la emergencia. La empresa señaló que está investigando con las instituciones pertinentes las circunstancias exactas de la exposición, pero, con la información disponible hasta ahora, no se sabe por qué vía se publicaron los datos en la web externa. KEPCO comunicó individualmente el incidente y sus circunstancias a los empleados mediante mensajes de texto y correo electrónico, entre otros medios, y también les indicó precauciones para evitar daños secundarios.

Qué significa esta noticia

Las personas directamente afectadas por este incidente son, en la práctica, los más de 24.000 empleados de KEPCO. La explicación de la empresa de que no se expusieron números de registro de residente ni datos de clientes es un elemento que debe tenerse en cuenta al valorar el alcance de los daños. Sin embargo, como la exposición conjunta de nombres, departamentos, números de empleado, teléfonos y correos electrónicos puede servir para identificar a un empleado concreto y ponerse en contacto con él, los afectados deben estar atentos a comunicaciones inesperadas o intentos de suplantación. Esta es una interpretación de los riesgos posibles; no significa que se hayan producido realmente esos daños.

Por ejemplo, si un empleado de KEPCO recibe una comunicación que parece relacionada con el trabajo interno y en la que le piden información adicional o una verificación, puede estar alerta ante la posibilidad de que se trate de una suplantación relacionada con las circunstancias posteriores a la exposición. No obstante, no se ha confirmado que este incidente haya dado lugar a casos reales de phishing o suplantación. KEPCO afirmó que había comunicado individualmente precauciones para prevenir daños, por lo que los empleados que hayan recibido el aviso pueden consultarlo y, si reciben una comunicación sospechosa, es más seguro no responder precipitadamente ni facilitar información.

La evaluación de la respuesta al incidente dependerá no solo de que los datos hayan sido borrados, sino también de que se esclarezcan las circunstancias de la exposición, se determine si hubo daños reales y se ofrezca reparación en caso de que se hayan producido. KEPCO dijo que averiguará la causa mediante una investigación conjunta con las instituciones pertinentes y otra propia, y que preparará medidas para evitar que vuelva a ocurrir. También afirmó que, si se presentan denuncias porque se hayan producido daños o se tema que puedan producirse, llevará a cabo las investigaciones necesarias y tramitará medidas de reparación, como indemnizaciones. Esto no significa que la reparación ya esté garantizada, sino que la empresa prevé actuar tras recibir una denuncia e investigar el caso.

Información sobre las normas y la asistencia pertinentes

KEPCO afirmó que, si recibe denuncias porque se hayan producido daños o se tema que puedan producirse, llevará a cabo las investigaciones necesarias y tramitará medidas de reparación, como indemnizaciones. Sin embargo, la exposición de datos personales no determina automáticamente si habrá indemnización ni su cuantía. Según materiales basados en casos de consulta de la Corporación de Asistencia Jurídica (법률구조공단), las indemnizaciones se calculan teniendo en cuenta el tipo de daño y las circunstancias en que se produjo, la culpa de la persona afectada, el contenido de los acuerdos y si se recibieron pagos de seguros o prestaciones. Estos materiales explican principios generales de indemnización y no determinan la responsabilidad ni el importe que corresponderían a cada persona en este incidente.

Por ello, los empleados que consideren que han sufrido daños reales pueden conservar el aviso de exposición, las comunicaciones relacionadas y los documentos que acrediten los perjuicios, y consultar a KEPCO qué procedimiento de denuncia y qué documentación se necesitan. Si contemplan llegar a un acuerdo, también deberían revisar su alcance. En general, un acuerdo puede limitar reclamaciones posteriores, aunque, según explican los materiales, podría existir la posibilidad de reclamar daños graves posteriores que no fueran previsibles razonablemente en el momento del acuerdo. La aplicación concreta y aspectos como el plazo de prescripción pueden variar en función del tipo de daño y del momento en que se tuvo conocimiento de este, por lo que no cabe establecer una conclusión válida para todos los casos.

Diferencias entre las informaciones publicadas

Las informaciones difieren en cómo describen el momento en que se borraron los datos. Un medio informó de que se eliminaron cerca de la medianoche que daba paso al 3 de octubre; otra información en inglés indicó que la eliminación se completó hacia la medianoche del viernes. Con los datos disponibles, es difícil confirmar si ambas expresiones aluden a la misma hora de distinta manera o si existe una diferencia real en el momento. La referencia a que se tardó unas 32 horas aparece en las informaciones en coreano.

Hechos confirmados y cuestiones que aún se desconocen

Hechos confirmados

  • KEPCO tuvo conocimiento hacia las 15:59 del 1 de octubre de que datos personales de sus empleados estaban expuestos en una web externa.
  • Los siete datos expuestos eran el nombre, el departamento, el número de empleado, el número de teléfono móvil, el teléfono interno, el correo electrónico y el cargo; las personas afectadas eran más de 24.000.
  • KEPCO explicó que no se expusieron información de identificación única ni información sensible, ni los datos de clientes alojados en un sistema específico independiente.
  • KEPCO bloqueó el acceso a sus sistemas internos y solicitó que se borraran los datos; el 4 de octubre informó a la Comisión de Protección de Información Personal y estableció un centro de coordinación integral para responder a la emergencia.
  • KEPCO notificó individualmente a los empleados y afirmó que, si recibe denuncias de daños, investigará y tramitará medidas de reparación.

Cuestiones que aún se desconocen

  • ¿Cuáles fueron las circunstancias concretas y la causa de la exposición de los datos de los empleados en la web externa?
  • ¿Se produjeron daños secundarios reales a raíz de esta exposición?
  • Si los hubo, ¿qué tipo y magnitud tuvieron, y cómo se llevarán a cabo la investigación y la reparación?

Qué pueden comprobar los lectores

  • Si trabaja en KEPCO, puede consultar la notificación individual y las indicaciones para prevenir daños secundarios que haya recibido por mensaje de texto o correo electrónico, y evitar facilitar datos personales u otra información adicional en respuesta a comunicaciones sospechosas.
  • Si se han producido daños reales o se teme que puedan producirse, puede conservar los documentos que permitan acreditar las comunicaciones relacionadas y los perjuicios, y preguntar a KEPCO por el procedimiento de denuncia y la documentación necesaria. No puede darse por sentado que la notificación indique un método de denuncia concreto.
  • Si está considerando reclamar una indemnización o llegar a un acuerdo, puede revisar la documentación sobre los daños y el contenido del acuerdo; para cuestiones que requieran una valoración específica, puede solicitar asesoramiento jurídico.

Referencias