Filtración de datos en Claro RD: qué se expuso y qué hacer ahora

Lo que confirmó Claro

El 16 de septiembre, Claro República Dominicana confirmó de forma oficial lo que días antes ya circulaba: una exposición no autorizada de datos de una parte de sus clientes de servicios móviles. Según el comunicado de la empresa, lo expuesto incluye números de teléfono, cédulas de identidad y el tipo de servicio contratado por cada línea.

Claro fue enfático en un punto: asegura que esos datos, por sí solos, "no permiten acceder a cuentas, realizar transacciones ni conocer el contenido de las comunicaciones". Es una aclaración importante, pero no significa que la filtración sea inofensiva. Significa que el riesgo inmediato no es que alguien vacíe una cuenta bancaria con esto, sino algo más silencioso: que lo usen para hacerse pasar por Claro, por un banco o por una entidad del Estado.

De dónde salió la alerta

Antes de que la empresa hablara, ya había ruido. El 13 de septiembre, un usuario en un foro donde suelen circular bases de datos filtradas aseguró tener en su poder información de cerca de 2.9 millones de clientes de Claro en el país. Esa cifra viene de quien dice tener los datos, no de Claro ni de una entidad reguladora. No está confirmada de forma independiente, y conviene tratarla con esa reserva hasta que exista un número oficial.

Lo que sí está confirmado, porque lo dijo la propia empresa, es que el acceso no autorizado ocurrió y que ya se activó un protocolo interno de seguridad para contenerlo y para notificar a los clientes afectados.

Qué significa "solo número y cédula" en la práctica

Un número de teléfono y una cédula, juntos, no son gran cosa por separado. Juntos, son la materia prima favorita para tres tipos de fraude que ya son comunes en el país:

• Vishing: llamadas haciéndose pasar por el banco, por Claro o por una institución pública, usando tu cédula real para sonar creíbles y pedirte un código de verificación.
• SIM swap: intentar duplicar tu línea usando tu cédula como "prueba de identidad", para interceptar los códigos SMS que protegen tu banca en línea.
• Phishing dirigido: mensajes de texto o WhatsApp que citan tu número y tu cédula para parecer oficiales, con un enlace que en realidad roba contraseñas.

Ninguno de estos tres requiere acceso a tu cuenta. Solo requiere que tú, al ver que "saben" tu cédula, bajes la guardia y confíes en quien te contacta.

Qué puedes hacer hoy

No hace falta pánico, pero sí unos minutos:

• No compartas nunca un código de verificación (OTP) por teléfono, ni con alguien que dice llamar de Claro, de tu banco o de una entidad pública. Ninguna de esas instituciones lo pide así.
• Si te llega una llamada o mensaje que menciona tu cédula para sonar oficial, cuelga y llama tú directamente al número oficial de la entidad, no al que te dieron en la llamada.
• Activa, si no lo has hecho, la verificación en dos pasos de tu banca en línea con una aplicación (no solo por SMS), y pregunta a tu operador si ofrece bloqueo contra duplicado de SIM.
• Si notas algo raro con tu línea, como quedarte sin señal sin razón o no poder hacer llamadas, contacta a Claro de inmediato. Puede ser una señal de un intento de SIM swap en curso.
• Desconfía de cualquier mensaje que te pida "verificar tu identidad" a raíz de esta noticia. Es exactamente el tipo de gancho que un estafador usaría después de una filtración real.

Cómo saber si tus datos están entre los expuestos

Claro no ha publicado una herramienta para que cada cliente verifique de forma individual si su línea está entre las afectadas, y RD Al Día recomienda desconfiar de cualquier sitio de terceros que ofrezca "consultar" tu cédula o tu número a cambio de un clic: es exactamente el tipo de anzuelo que un estafador montaría aprovechando esta noticia. Lo más seguro por ahora es asumir que tu número y tu cédula pueden estar expuestos si eres cliente de Claro, y actuar con las precauciones de esta guía independientemente de si recibes o no una notificación directa. Si Claro te contacta formalmente, debería ser a través de los canales que ya usas con ellos (la app MiClaro, tu correo registrado o el *611), nunca pidiéndote una contraseña o un código por esa misma vía.

El vacío detrás del caso

República Dominicana todavía no cuenta con una ley integral de protección de datos personales ni con una autoridad dedicada a sancionar este tipo de incidentes, algo que ya existe, con distintos grados de alcance, en buena parte de los países de la región. Eso significa que, más allá del protocolo interno que active Claro, no hay hoy un marco legal claro que obligue a plazos de notificación, a auditorías externas independientes o a sanciones específicas cuando una empresa expone datos de sus clientes. Es un vacío que organizaciones de defensa del consumidor han señalado en discusiones anteriores sobre el sector telecomunicaciones, y que un caso de esta escala vuelve a poner sobre la mesa. Mientras no exista esa ley, la principal protección real sigue siendo la que cada persona tome por su cuenta.

Qué falta por saber

Hasta el momento no hay un pronunciamiento público del Instituto Dominicano de las Telecomunicaciones (INDOTEL) sobre este caso, y Claro no ha precisado cuántos clientes fueron afectados en total ni cómo ocurrió exactamente el acceso no autorizado. RD Al Día seguirá esta historia y actualizará esta nota si la empresa o el regulador ofrecen más detalles.