La compañía de crédito Vivus deberá pagar una multa por una brecha de seguridad que comprometió información personal de sus clientes. EXP202304633

La Agencia Española de Protección de Datos ha impuesto una multa de 600.000 euros a la empresa de crédito 4Finance Spain Financial Services, conocida como Vivus, por una grave brecha de seguridad que comprometió la información personal de 9.497 clientes. 

La empresa se enfrentó a suplantaciones de identidad y un uso fraudulento de los datos afectados. Los ciberdelincuentes accedían al área personal del cliente para solicitar un préstamo, el cual se aceptaba automáticamente, recibían el ingreso en la cuenta del cliente. Tras ello, se comunicaban con las víctimas a través de WhatsApp, haciéndose pasar por representantes de Vivus, solicitando la devolución del dinero a cuentas controladas por los delincuentes.

Vivus, ocho meses después de descubrir la brecha, finalmente notificó el incidente el 17/02/2024, según revela la resolución emitida por la AEPD. Esta demora en la notificación resultó en que al menos 427 clientes fueran defraudados durante ese tiempo.

La justificación de Vivus ante la AEPD

La empresa se justifica alegando que ha implementado varias medidas correctivas, incluyendo el cambio de contraseñas para todos los usuarios, la adopción de un sistema de autenticación de doble factor y la revisión de sus procedimientos internos. Además, la empresa ha categorizado a los afectados por fraude para prevenir futuras consecuencias y ha ajustado su política de contraseñas. No obstante, la AEPD considera que las medidas correctivas implementadas no son suficientes para garantizar la identidad de los usuarios que solicitan préstamos.

La AEPD considera que Vivus vulneró el artículo 5.1 del RGPD al no garantizar la confidencialidad de los datos personales, lo que resultó en una multa de 200.000 euros. También se impuso una multa de 400.000 euros por no aplicar medidas de seguridad técnicas y organizativas adecuadas, según lo estipulado en el artículo 32 del RGPD. En la cuantificación se ha tenido en cuenta como agravante la vinculación de la actividad empresarial con el tratamiento continuo de datos personales.

La multa inicial de 600.000 euros quedó reducida a 360.000 euros. La empresa reconoció los hechos y pagó de forma voluntaria el 25 de abril de 2024.