Desjardins es el banco cooperativo de Quebec. La mayor cooperativa de crédito de Canadá. Una institución que se promociona como de propiedad comunitaria, centrada en sus miembros y arraigada en la tradición cooperativa quepeculia de Quebec, lo que la diferencia de los grandes bancos corporativos.

La institución a la que muchos residentes de Quebec se les dice que confíen porque “es nuestra”. Entre octubre de 2016 y mayo de 2019, un empleado de Desjardins llamado Sébastien Boulanger‑Dorval robó sistemáticamente la información personal de millones de miembros y clientes de Desjardins. La vendió en mercados de la darknet y foros de ciberdelincuencia.

Durante 26 meses. Antes de que Desjardins se diera cuenta. Desjardins no descubrió la brecha a través de sus propios sistemas de seguridad.

Fue notificado por la policía. Los datos sustraídos incluían nombres, fechas de nacimiento, números de seguro social, direcciones residenciales, números de teléfono, direcciones de correo electrónico, historiales de transacciones y hábitos bancarios. Aproximadamente 10 millones de personas.

Cómo fue posible durante 26 meses

La investigación del Comisionado Federal de Privacidad determinó que la brecha fue el resultado de una serie de fallas tecnológicas y administrativas en Desjardins. El empleado malintencionado tenía acceso a un almacén de datos de marketing compartido que contenía información sensible de los miembros. Ese acceso no se supervisó adecuadamente.

La exfiltración de datos durante 26 meses no activó las alertas de seguridad que deberían haber detectado una actividad inusual. Lo que significa que Desjardins tenía los datos financieros personales de casi 10 millones de canadienses en un sistema al que un solo empleado del departamento de marketing podía acceder, copiar y vender durante más de dos años sin que la institución lo notara. Tanto el Comisionado Federal de Privacidad como la Comisión de Acceso a la Información de Quebec concluyeron que Desjardins no mostró el nivel de atención requerido para proteger los datos de sus clientes.

No se trató de un ataque externo sofisticado. Fue un empleado interno con acceso estándar.

Durante 26 meses. Antes de que la policía les informara que estaba ocurriendo.

Qué recibieron los clientes

Desjardins resolvió la demanda colectiva resultante por 200,9 millones de dólares. El mayor acuerdo de acción colectiva en la historia de los servicios financieros canadienses en ese momento. Los clientes que presentaron una reclamación recibieron hasta 90 dólares por el tiempo perdido.

Los clientes que sufrieron robo de identidad podían reclamar hasta 1 000 dólares. Es decir, a un cliente cuyo número de seguro social, dirección, historial bancario y datos personales fueron vendidos en mercados de la darknet durante casi dos años se le ofreció un máximo de 1 000 dólares si podía documentar el robo de identidad resultante. Un cliente que siguió el proceso de reclamación documentó haber recibido 88 dólares por su reclamo de Subclase 1.

Posteriormente recibió una solicitud de documentación que tendría que pagar para obtener. Señalaron que la documentación costaría más que el pago de 88 dólares. 201 millones de dólares divididos entre 9,7 millones de personas afectadas producen aproximadamente 20 dólares por persona en promedio, antes de los honorarios legales que Desjardins cubrió por separado.

El presidente de Desjardins declaró en ese momento que el impacto financiero de la brecha representaba menos del 1 % de los 18 mil millones de dólares de ingresos anuales de la institución y que Desjardins tenía suficiente capacidad para absorberlo. Lo cual es exacto… para Desjardins.

Para el cliente cuyo número de seguro social fue vendido en un foro de la darknet, la capacidad de absorber las consecuencias fue distinta.

La cooperativa que olvidó a sus miembros

Desjardins promociona su estructura cooperativa como una distinción fundamental frente a la banca corporativa. Los miembros son propietarios. La institución existe para servirles.

El modelo cooperativo se supone que genera una relación diferente entre la institución financiera y las personas que confían en ella su dinero y sus datos. El modelo cooperativo no impidió un robo interno de datos de 26 meses que afectó a casi 10 millones de miembros. No produjo una infraestructura de seguridad adecuada para detectar a un empleado copiando y vendiendo datos de los miembros.

Tampoco resultó en una compensación lo suficientemente significativa como para abordar las consecuencias del robo de identidad que experimentaron los miembros. Lo que el modelo cooperativo produjo fue un acuerdo que la institución describió como representando menos del 1 % de sus ingresos anuales, cifra que su presidente calificó de “dentro de una capacidad amplia para absorber”.

Los miembros cuyos datos fueron vendidos absorbieron algo diferente.

El patrón institucional de Quebec

Esta plataforma ha documentado un patrón constante en instituciones de Quebec en las últimas semanas. Dinero público y confianza de los miembros fluyen hacia esas instituciones. Esas instituciones toman decisiones que perjudican a las personas a las que sirven.

Las consecuencias recaen sobre esas personas. Las instituciones absorben el costo financiero dentro de sus márgenes operativos y continúan. Los conductores de taxi cuyos permisos fueron devaluados recibieron una compensación insuficiente, confirmada por la Corte de Apelaciones.

Las enfermeras expulsadas del sistema público por malas condiciones laborales son reemplazadas a tarifas premium de agencias mientras la escasez persiste. Los operadores de autobuses escolares, con un proveedor monopolista, vieron cómo los autobuses se incendiaban y la empresa quebraba mientras sus rutas eran canceladas. Los pasajeros del REM que perdieron sus alternativas de autobús no tuvieron tránsito durante los apagones del sistema.

Los miembros de Desjardins cuyos datos fueron vendidos durante 26 meses recibieron 88 dólares y una solicitud de documentación. La cooperativa, supuestamente propiedad de sus miembros, no protegió los datos más sensibles que esos miembros le confiaron. Cuando se le responsabilizó a través del sistema legal, se acordó un monto que su CEO describió como fácilmente absorbible.

Los miembros absorbieron lo que la institución no pudo sentir.

La nota honesta para quien abra una cuenta empresarial

Desjardins sigue siendo la opción recomendada para la banca de pequeñas empresas en Quebec, gracias a su estructura cooperativa, tarifas accesibles y presencia local. La brecha fue una grave falla institucional que causó daño real. También dio lugar al mayor acuerdo de acción colectiva en servicios financieros de la historia canadiense y a mejoras significativas en la seguridad que le siguieron.

La institución no es singularmente malintencionada. Es una gran entidad que falló en la seguridad de datos de la misma manera en que lo hacen regularmente las grandes instituciones en todo el mundo. Lo que hace que el caso Desjardins sea específico para la documentación de instituciones de Quebec en esta plataforma es la brecha entre lo que la institución se promociona y lo que realmente entregó, cuando esa discrepancia entre marketing y realidad se hizo visible.

Miembro primero. Cooperativa. Propiedad comunitaria. $88 por miembro afectado.

SIIIOCULI — Intelligence. Sovereignty. Awareness. siiioculi.lilxbrxaker.com