NUEVA YORK – La Fiscal General de Nueva York, Letitia James, anunció hoy un acuerdo con la firma de contabilidad pública Wojeski & Company (Wojeski) para reforzar la seguridad de sus datos y proteger la información de los consumidores. Wojeski no tomó las medidas adecuadas para proteger la información personal de sus clientes y sufrió dos incidentes de ciberseguridad que expusieron la información privada de más de 4,700 neoyorquinos. Una investigación de la Fiscalía General (OAG) reveló que Wojeski tardó más de un año en notificar a las víctimas sobre la filtración de datos, a pesar de estar obligada a notificarlas poco después de la filtración. Como resultado del acuerdo de hoy, Wojeski debe pagar $60,000 en multas y tomar medidas para mejorar sus medidas de ciberseguridad. A las personas afectadas por las filtraciones de datos se les ofreció un año de monitoreo gratuito de informes crediticios.
«Los ataques de ransomware como los de Wojeski ponen en riesgo a los consumidores», declaró la Fiscal General James. Como firma de contabilidad, Wojeski debería haber tomado medidas más estrictas para proteger los datos personales de los neoyorquinos y prevenir filtraciones de datos que podrían derivar en robo de identidad y otros tipos de fraude. Cuando los neoyorquinos pagan por un servicio, deben confiar en que la empresa a la que pagan no expondrá su información privada. Las empresas deben esforzarse más por proteger los datos de sus clientes y mi oficina no dudará en exigirles cuentas.
Wojeski es una firma de contabilidad pública certificada. El 28 de julio de 2023, los empleados de Wojeski se dieron cuenta de que estaban sufriendo un ataque de ransomware al no poder acceder a ciertos archivos de sus sistemas. Tras contener la amenaza e iniciar una investigación, Wojeski descubrió que el ciberataque probablemente se debió a un correo electrónico de phishing enviado a uno de sus empleados. La investigación también reveló que los números de la seguridad social de los clientes no estaban cifrados en algunas partes de la red de la empresa. El 31 de mayo de 2024, Wojeski fue notificado de otra filtración de datos cuando un empleado de una empresa contratada para colaborar en la investigación accedió indebidamente a los datos de clientes que se encontraban en los archivos que Wojeski había enviado para su revisión. Los empleados también enviaban la información a varias direcciones de correo electrónico externas sin autorización.
Wojeski no notificó a los clientes sobre ninguna de las dos filtraciones de seguridad hasta noviembre de 2024, un año y medio después de que los datos personales de sus clientes se vieran comprometidos por primera vez. Los datos personales expuestos en uno o ambos incidentes incluían nombres, fechas de nacimiento, números de la seguridad social, números de licencia de conducir, direcciones de correo electrónico, números de teléfono, números de cuentas financieras, beneficios médicos e información sobre derechos. La filtración de datos de 2023 afectó a 5881 personas, 4726 de las cuales eran residentes de Nueva York, y la de 2024 afectó a un total de 351 personas, 267 de las cuales eran residentes de Nueva York. Tras las filtraciones de datos, Wojeski ofreció a las personas afectadas un servicio gratuito de monitoreo de crédito.
Como resultado del acuerdo de hoy, Wojeski pagará $60,000 en multas y la compañía está obligada a adoptar estándares de seguridad más estrictos para proteger mejor la información personal de sus clientes en el futuro, incluyendo:
- Mantener un programa integral de seguridad de la información para proteger la seguridad, integridad y confidencialidad de la información de los clientes;
- Cifrar la información personal que la compañía recopila, almacena, transmite y/o mantiene;
- Desarrollar y mantener un inventario de dónde se almacenan los datos personales dentro de su red;
- Mantener procesos razonables de administración de cuentas y autenticación que limiten el acceso de los empleados a información confidencial según sea necesario;
- Establecer un programa diseñado para identificar y corregir vulnerabilidades de seguridad dentro de su red informática;
- Implementar un plan de respuesta a incidentes que garantice la notificación oportuna a los consumidores; e
- Implementar un programa de capacitación en ciberseguridad que todos los empleados deben completar.
