En resumen
Según el CEPD, la exposición de datos de contacto como los correos expone a las personas a intentos de fraude, incluido el phishing.
Avisar a los clientes es obligatorio con un alto riesgo (art. 34 RGPD); la notificación a la autoridad en 72 horas tiene un umbral más bajo.
El aviso debe ser un mensaje específico, en lenguaje claro, con contactos, consecuencias probables y medidas: el blog o una nota de prensa no bastan.
Sin enlaces de acceso ni adjuntos: indica lo que la empresa nunca pedirá y un canal de verificación que el cliente ya conozca.
SPF, DKIM y DMARC protegen tu dominio exacto: también hace falta vigilar dominios parecidos y preparar la atención al cliente.
Cuando una empresa descubre que nombres y direcciones de correo de sus clientes han acabado en malas manos, el problema no termina con el aviso. Esos datos son justo lo que hace falta para redactar correos falsos creíbles, que se presentan en nombre de la empresa y piden hacer clic en un enlace, actualizar un pago o confirmar las credenciales. Las directrices del Comité Europeo de Protección de Datos (CEPD) lo indican de forma explícita: si se exponen datos de contacto, las personas pueden convertirse en objetivo de intentos de fraude como correos de phishing, SMS y llamadas fraudulentas.
En esta guía encontrarás qué exige el RGPD para la comunicación a los clientes después de una brecha (art. 34), cómo se relaciona con la notificación a la autoridad de control (art. 33) y qué debe contener el aviso según las directrices 9/2022 y 01/2021 del CEPD. Después vemos cómo reducir el riesgo de correos falsos en tu nombre, con avisos claros, defensas técnicas y una atención al cliente preparada. No es asesoramiento jurídico: cada caso debe valorarse con tu DPO o asesor de privacidad.
¿Por qué después de una brecha de datos llega el phishing?
Porque un nombre y un correo bastan para un ataque creíble y dirigido. El correo falso no llega de un desconocido: llega, en apariencia, de una empresa con la que el cliente tiene una relación real.
Qué dicen las directrices del CEPD sobre los datos de contacto
Las directrices 01/2021 del CEPD recogen ejemplos prácticos de brechas. En el caso n.º 6, un sitio web con contraseñas protegidas con hash, el CEPD descarta un riesgo significativo también porque no se habían comprometido datos de contacto como correos o números de teléfono: por eso los usuarios no estaban expuestos a intentos de fraude como correos de phishing, SMS o llamadas fraudulentas.
El razonamiento funciona también al revés. En el caso n.º 7, un ataque a una web de banca en línea, el CEPD observa que los datos sustraídos podían servir para adivinar contraseñas o para lanzar una campaña de spear phishing contra los clientes del banco. En el caso n.º 18, una exfiltración de correos corporativos, considera el riesgo alto también porque los datos podían facilitar otros ataques, como el phishing.
Esto no significa que toda exposición de direcciones de correo sea automáticamente de alto riesgo. Significa que el phishing posterior es un elemento que hay que considerar de forma explícita al valorar la brecha y decidir qué decir a los clientes.
La primera señal puede llegar de los propios clientes
A veces la empresa descubre la brecha después del phishing, no antes. Las directrices 9/2022 del CEPD recogen el ejemplo de una persona que informa al responsable de que ha recibido un correo que lo suplanta, con datos personales sobre su uso real del servicio. Si una breve investigación confirma una intrusión con acceso a los datos, según el CEPD el responsable debe considerarse "consciente" de la brecha y la notificación a la autoridad es obligatoria, salvo que sea improbable un riesgo para las personas. Los avisos de correos sospechosos en tu nombre no son simple spam.
¿Cuándo es obligatorio avisar a los clientes tras una brecha de datos?
Es obligatorio cuando la brecha puede entrañar un alto riesgo para los derechos y libertades de las personas. Lo establece el artículo 34, apartado 1, del RGPD: en ese caso el responsable comunica la brecha a los interesados sin dilación indebida.
Notificación a la autoridad y comunicación a los clientes: dos umbrales distintos
La notificación a la autoridad de control (art. 33) y la comunicación a los interesados (art. 34) son dos obligaciones distintas. La notificación debe hacerse sin dilación indebida y, de ser posible, en un plazo de 72 horas desde que el responsable tuvo constancia de la brecha, salvo que sea improbable que constituya un riesgo para las personas.
La comunicación a los clientes, en cambio, solo es obligatoria con un alto riesgo. El CEPD explica que el umbral es más alto que el de la notificación, para no saturar a las personas con avisos innecesarios. En Italia la notificación se envía mediante el procedimiento telemático del portal de servicios del Garante, que ofrece también una herramienta de autoevaluación; en España la autoridad competente es la AEPD, y en cada país hay que seguir el procedimiento de la autoridad correspondiente. Plazos y pasos están explicados en la guía sobre qué hacer en las primeras 72 horas tras una brecha de datos.
Cómo se valora el riesgo cuando se exponen nombres y correos
El CEPD indica varios criterios: tipo de brecha, naturaleza, sensibilidad y volumen de los datos, facilidad para identificar a las personas, gravedad de las consecuencias, características de los interesados y número de personas afectadas.
Incluso datos que parecen inocuos pueden revelar mucho. Para el CEPD importa lo que revelan: una lista de clientes poco sensible en sí puede ser útil para los delincuentes. Un correo asociado al nombre de tu empresa puede revelar el tipo de relación con el cliente: un servicio sanitario, financiero o jurídico no es un boletín de recetas.
En el anexo de las directrices 9/2022 el CEPD analiza un correo de marketing enviado con las direcciones de todos los destinatarios visibles. La notificación y la comunicación pueden ser necesarias si las personas afectadas son muchas, si se revelan datos sensibles o si hay otros factores de alto riesgo; pueden no serlo si las direcciones expuestas son pocas y no hay datos sensibles. En caso de duda, el CEPD recomienda ser prudente y notificar.
Las excepciones y los poderes de la autoridad
El artículo 34, apartado 3, prevé tres casos en los que no hace falta la comunicación: datos ininteligibles para personas no autorizadas antes de la brecha, por ejemplo mediante cifrado; medidas adoptadas justo después que hacen improbable el alto riesgo; esfuerzo desproporcionado para contactar a las personas, en cuyo caso se necesita una comunicación pública o una medida semejante igual de eficaz.
Si el responsable decide no avisar, la autoridad de control puede exigir la comunicación cuando considere probable un alto riesgo (art. 34, apdo. 4). El CEPD recuerda además que la valoración puede cambiar con el tiempo: si empiezan a llegar avisos de phishing en tu nombre, hay que volver a valorar el riesgo. Cada decisión, incluida la de no avisar, debe motivarse y documentarse en el registro de brechas previsto en el artículo 33, apartado 5.
¿Qué debe contener el aviso a los clientes?
El aviso debe describir en un lenguaje claro y sencillo la naturaleza de la brecha y contener como mínimo la información del artículo 33, apartado 3, letras b), c) y d). El CEPD la resume en cuatro elementos, a los que conviene añadir instrucciones prácticas contra el phishing.
Elemento | Qué exige el RGPD | Cómo aplicarlo tras la exposición de nombres y correos |
|---|---|---|
Naturaleza de la brecha | Descripción en lenguaje claro y sencillo (art. 34, apdo. 2) | Qué datos están afectados y cuáles no, solo después de haberlo comprobado |
Punto de contacto | Nombre y datos de contacto del DPO o de otro punto de contacto (art. 33, apdo. 3, letra b) | Una dirección o un número dedicado, que ya figure en la web oficial |
Consecuencias probables | Descripción de las posibles consecuencias (art. 33, apdo. 3, letra c) | Decir de forma explícita que pueden llegar correos, SMS o llamadas en nombre de la empresa |
Medidas adoptadas o propuestas | Medidas para poner remedio y mitigar los efectos (art. 33, apdo. 3, letra d) | Qué ha hecho la empresa y qué puede hacer el cliente para protegerse |
El CEPD precisa que, cuando proceda, el responsable debería dar consejos específicos a las personas para protegerse, como restablecer la contraseña si las credenciales se han visto comprometidas. Según las directrices, el objetivo principal de la comunicación es precisamente informar sobre los pasos que deben dar para protegerse.
Mensajes específicos y canales eficaces
Según el CEPD el aviso debe ser un mensaje específico, no incluido en un boletín, una actualización periódica o un mensaje estándar. Entre los métodos de comunicación transparentes cita la mensajería directa (correo, SMS, mensajes directos), banners o notificaciones bien visibles en la web, el correo postal y anuncios destacados en prensa.
Un aviso limitado a una nota de prensa o al blog corporativo no se considera un medio eficaz para informar a las personas. El CEPD recomienda el medio que maximice la probabilidad de llegar a todos, con varios canales a la vez si hace falta.
El canal comprometido y los plazos
Hay una indicación que afecta directamente al phishing: el responsable debe evitar un canal comprometido por la brecha, porque también podrían usarlo los atacantes que se hacen pasar por él. Si el ataque afectó al sistema de envío de correos o a la herramienta de boletines, ese canal debe protegerse o complementarse con otros antes de usarlo para el aviso.
En cuanto a los plazos, "sin dilación indebida" significa lo antes posible. El considerando 86 del RGPD prevé que la comunicación se haga en estrecha cooperación con la autoridad de control y que un riesgo inmediato de daño exija una comunicación rápida. El CEPD admite un aplazamiento solo en casos justificados, por indicación de las autoridades policiales para no perjudicar la investigación; después, hay que informar a las personas enseguida.
¿Cómo redactar un aviso que no parezca a su vez phishing?
Un buen aviso debe ser reconocible como auténtico y no debe acostumbrar al cliente a hacer clic. Si tu mensaje contiene un enlace a una página de acceso, un adjunto y una petición de confirmar datos, a los estafadores les bastará con copiarlo.
La autoridad italiana de protección de datos, en su ficha divulgativa sobre el phishing, recuerda que en general bancos, organismos públicos y empresas no piden información personal por correo, SMS, redes sociales o chat. Aconseja no hacer clic en los enlaces ni abrir los adjuntos de mensajes sospechosos, y desconfiar de los tonos intimidatorios y de las amenazas de sanciones. En el aviso a los clientes puedes convertir este principio en un compromiso explícito, indicando lo que tu empresa nunca pedirá por correo, SMS o teléfono:
contraseñas, códigos OTP o PIN;
datos completos de la tarjeta de pago o datos bancarios que "actualizar";
pagos urgentes a un IBAN distinto del habitual;
instalar programas o apps para "proteger" la cuenta;
confirmar datos personales mediante un enlace o un formulario recibido por correo.
Mantén el aviso sobrio: sin enlaces de acceso, sin adjuntos, sin urgencias artificiales. Si el cliente tiene que hacer algo, por ejemplo cambiar la contraseña, invítale a entrar escribiendo a mano la dirección de la web o usando la app oficial. Publica el mismo texto en una página de la web accesible desde la portada, para que quien reciba un mensaje dudoso pueda compararlo con la versión oficial.
Indica un canal de verificación que el cliente ya conozca, como el número de atención al cliente que figura en la web o en el contrato, y una dirección específica a la que reenviar los correos sospechosos. Usa el mismo remitente y el mismo dominio de las comunicaciones habituales: un aviso enviado desde un dominio que nadie ha visto antes es difícil de distinguir de un intento de phishing.
¿Qué defensas técnicas reducen los correos falsos en tu nombre?
Las defensas técnicas sirven para que sea más difícil usar tu dominio para enviar correos falsos. No eliminan el riesgo.
SPF, DKIM y DMARC en tu dominio
En abril de 2026 la Agencia Nacional de Ciberseguridad italiana (ACN) publicó unas directrices sobre la configuración del correo electrónico para la autenticación del remitente, con el objetivo de combatir el spoofing, el phishing y la manipulación de mensajes. La ACN recomienda implantar SPF, DKIM y DMARC conjuntamente: SPF por sí solo no basta, DKIM firma los mensajes y DMARC comprueba la alineación y permite poner en cuarentena o rechazar los mensajes no autenticados.
Estos protocolos protegen tu dominio exacto, no los parecidos. Lo explicamos en detalle en la guía sobre el fraude del CEO y los IBAN falsos, donde también encontrarás cómo introducir DMARC de forma gradual sin bloquear el correo legítimo.
Dominios parecidos que vigilar
Un boletín de CSIRT Italia del 17 de febrero de 2026 sobre una campaña de Business Email Compromise describe atacantes que registran dominios muy parecidos a los reales, con caracteres fáciles de confundir. El mismo truco puede usarse contra tus clientes: un dominio que cambia una sola letra hace creíble un correo falso aunque SPF, DKIM y DMARC estén bien configurados.
Por eso conviene vigilar los registros de dominios parecidos al tuyo, por ejemplo con los servicios que ofrecen registradores y proveedores de seguridad, y valorar el registro preventivo de las variantes más evidentes. Si encuentras un dominio usado para suplantarte, reúne pruebas, avisa a los clientes por los canales oficiales y valora con tus asesores técnicos y jurídicos las acciones posibles, incluida la denuncia ante la policía. Comprueba también las cuentas olvidadas, como los buzones de ex empleados todavía activos: cómo gestionarlos se explica en la guía sobre el correo corporativo de un ex empleado.
¿Cómo preparar al servicio de atención al cliente?
La atención al cliente es la primera línea después del aviso: recibirá preguntas, avisos y, a veces, clientes que ya han hecho clic. Si no está preparada, puede dar respuestas contradictorias o pedir datos personales para "verificar" la identidad, igual que haría un estafador.
Prepara un guion compartido antes de enviar el aviso: qué ha pasado en palabras sencillas, qué datos están afectados, qué no pedirá nunca la empresa y cómo reconocer una comunicación auténtica. El agente nunca debe pedir contraseñas o códigos ni dar detalles aún no confirmados.
Define un circuito de escalado. Los avisos de correos, SMS o llamadas sospechosas deben reunirse en un único punto, conservando cuando sea posible el mensaje original completo, y enviarse a quien gestiona el incidente y al DPO. Sirven para volver a valorar el riesgo y actualizar la documentación.
Si un cliente dice que ya ha introducido datos en una página falsa, el agente debe saber qué aconsejar: cambiar enseguida la contraseña del servicio y de los demás donde la reutilice; si ha facilitado datos de la tarjeta o de la cuenta, contactar con el banco por canales conocidos y fiables, como sugiere también la autoridad italiana. El phishing no llega necesariamente en los días del aviso: mantén el guion actualizado y a mano también en las semanas siguientes.
Checklist: qué hacer en los primeros días tras la exposición de los datos
Esta secuencia no sustituye al plan de respuesta a incidentes, pero ayuda a no olvidar los pasos que reducen el phishing posterior. Adáptala a tu situación junto con el DPO.
Contén la brecha y comprueba qué datos se han expuesto: nombres, correos, teléfonos u otros.
Valora el riesgo con el DPO, teniendo en cuenta de forma explícita el phishing dirigido, y decide sobre notificación y comunicación.
Si la notificación es obligatoria, envíala a la autoridad de control en 72 horas desde que tuviste constancia, también por fases.
Protege los canales de envío antes de usarlos para el aviso.
Comprueba SPF, DKIM y DMARC del dominio y busca dominios parecidos registrados recientemente.
Prepara un aviso específico, sin enlaces de acceso ni adjuntos, con la lista de lo que nunca pedirás.
Publica la misma información en la web y forma a la atención al cliente con un guion compartido.
Reúne los avisos, vuelve a valorar el riesgo y actualiza el registro de brechas.
¿Qué hacer en los meses siguientes?
En los meses siguientes el objetivo es entender por qué ocurrió y reducir la probabilidad de que vuelva a pasar.
Revisa quién tiene acceso a las listas de clientes, qué proveedores tratan las fichas y con qué garantías, y si los datos que conservas son realmente necesarios. Si había un proveedor implicado, comprueba que el contrato le obligue a informarte sin dilación indebida, como exige el artículo 33, apartado 2.
Actualiza la formación de todo el personal, no solo de atención al cliente. En su ficha resumen sobre las brechas de datos personales, el CEPD incluye entre las medidas de prevención la formación de los empleados en protección de datos, la autenticación multifactor para acceder a datos sensibles y la vigilancia de flujos de datos inusuales.
Por último, comprueba que el plan de respuesta incluya una plantilla de aviso ya aprobada, los canales que usar, el guion de atención al cliente y los datos de contacto del DPO. El CEPD recomienda implicar al DPO en la gestión de las brechas; si no tienes una figura interna, valora un DPO externalizado. Para repasar principios y obligaciones generales, empieza por la guía sobre qué es el RGPD.
Cómo te ayuda Complaion con el RGPD y la protección de datos
Complaion acompaña a las empresas en el cumplimiento del RGPD y en las certificaciones sobre gestión de la información. Un Lead Auditor dedicado parte de tu situación, comprueba lo que ya tienes y lo que falta, y te propone el camino más adecuado entre adecuación al RGPD, ISO 27701 e ISO 27001.
La plataforma reúne las evidencias, gestiona políticas, cláusulas informativas y registro de actividades de tratamiento, lleva el calendario de revisiones y te prepara para la auditoría. El Lead Auditor realiza también la auditoría interna, para que sepas si los procedimientos funcionan de verdad. Si necesitas un delegado de protección de datos, tienes el servicio de DPO externalizado.
Más de 1.000 clientes ya han elegido Complaion. Si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre brechas de datos y phishing
Si solo se han expuesto nombres y correos, ¿tengo que avisar a los clientes?
Depende del riesgo. La comunicación es obligatoria solo si la brecha puede entrañar un alto riesgo para las personas. Cuentan el número de clientes afectados, el tipo de relación que revela la dirección, la posible presencia de datos sensibles y la probabilidad de phishing dirigido. Aunque no sea obligatoria, el CEPD considera en muchos casos una buena práctica informar a las personas para que puedan protegerse.
¿Basta con publicar un aviso en el blog o una nota de prensa?
No. Según las directrices 9/2022 del CEPD, un aviso limitado a una nota de prensa o al blog corporativo no es un medio eficaz. Hacen falta mensajes específicos y directos, como correo o SMS, acompañados si procede de un banner visible en la web. La comunicación pública está prevista cuando contactar a las personas una a una supondría un esfuerzo desproporcionado.
¿Puedo incluir un enlace en el correo de aviso?
Es mejor evitar enlaces a páginas de acceso o formularios. Un aviso con un enlace en el que hacer clic es fácil de copiar para los estafadores y acostumbra a los clientes al gesto equivocado. Invítales en cambio a entrar en la web escribiendo la dirección a mano o a usar la app oficial, e indica un número de asistencia que ya conozcan.
Si ya he avisado a los clientes, ¿tengo que notificar también a la autoridad?
Sí, si la notificación es obligatoria. La notificación a la autoridad de control es obligatoria salvo que sea improbable un riesgo para las personas, mientras que la comunicación a los clientes se exige con un alto riesgo: si el riesgo es alto, hacen falta las dos. La notificación debe enviarse en 72 horas desde que se tuvo constancia, con el procedimiento de la autoridad competente, y toda brecha debe documentarse en el registro en cualquier caso.
¿Qué debe hacer la atención al cliente si un cliente informa de un correo sospechoso?
Agradecer el aviso, pedir que no haga clic y que reenvíe el mensaje original a la dirección específica, sin pedir nunca contraseñas ni códigos. El aviso debe registrarse y enviarse a quien gestiona el incidente y al DPO: puede indicar una campaña en curso o una brecha aún no descubierta y llevar a valorar de nuevo el riesgo.
