Wynn Resorts confirma el robo de datos de empleados

Qué ocurrió

Wynn Resorts confirmó que un tercero no autorizado había obtenido datos de sus empleados. La compañía abrió una investigación con especialistas externos y señaló que el incidente no afectó a la experiencia de los clientes ni a las operaciones físicas de sus establecimientos.

El caso se suma a una tendencia habitual en incidentes de seguridad: los sistemas de RR. HH. y de gestión interna, con menos atención mediática que las plataformas de cara al cliente, contienen datos igualmente sensibles.

Qué enseña a una empresa mediana

Los datos de empleados —nóminas, contratos, identificaciones, datos bancarios— son muy útiles para fraude, suplantación de identidad y ataques posteriores como el phishing dirigido. Un atacante con esa información puede hacerse pasar por un compañero o por RR. HH. con credibilidad.

Muchas organizaciones concentran esfuerzos de seguridad en los sistemas orientados a clientes y descuidan las plataformas internas de RR. HH., nóminas o gestión documental, que a menudo tienen controles de acceso más laxos.

Qué conviene revisar

Comprobaciones aplicables a cualquier sistema de RR. HH. o gestión de personal:

• Quién tiene acceso a los datos de empleados y si ese acceso está limitado a lo estrictamente necesario.
• Si el proveedor de nóminas o RR. HH. tiene doble factor de autenticación obligatorio.
• Cómo y cuánto tiempo se conservan los datos de exempleados.
• Si existe un plan de comunicación a empleados en caso de que sus datos se vean comprometidos.

Preguntas frecuentes

¿Afectó el incidente a los clientes de Wynn Resorts?

Según la compañía, no. El impacto se limitó a datos de empleados y no afectó a la experiencia de clientes ni a operaciones físicas.

¿Por qué son valiosos los datos de empleados para un atacante?

Porque permiten fraude, suplantación de identidad y ataques de phishing dirigido con apariencia de legitimidad.

¿Qué control tiene más impacto para proteger estos sistemas?

Exigir doble factor de autenticación y limitar el acceso a los datos de RR. HH. a quien realmente lo necesita.