Así lo recomendó en un comunicado en el que recordó que la cadena europea de gimnasios low-cost ha informado de un acceso no autorizado a la base de datos de sus clientes en más de 12 países, exponiendo sus datos personales y bancarios, una filtración de datos que podría afectar a 4,5 millones de clientes en España, Francia y Alemania.

OCU advierte de que, “en las próximas semanas, existe un riesgo alto” de que los ciberdelincuentes se pongan en contacto vía SMS o telefónica con los afectados haciéndose pasar por personal de Basic-Fit o de su entidad bancaria para conseguir sus credenciales de seguridad bancarias y realizar cargos a su costa.

En este contexto urgió a no abrir emails o SMS de origen desconocido y explicó que, “si el remitente es su propio banco, pero el mensaje es alarmista y urge a pinchar en un link o a llamar a un número, desconfíe”. “Llame antes al banco para comprobar su veracidad usando el número de teléfono oficial: el que tenga grabado o aparezca en Internet”, abundó.

A su vez, indicó que, si lo que recibe es una llamada pidiendo sus datos bancarios, “sepa que es falsa, ninguna empresa o banco pide esa información por teléfono”.

TRANSACCIONES FRAUDULENTAS

En cualquier caso, OCU recuerda que el Parlamento Europeo no solo define como fraudulentas las transacciones de pago no autorizadas, también aquellas en las que se manipuló al pagador para admitir una orden de pago.

“Es más, el propio Código Civil, en su artículo 1.265 y siguientes considera que el consentimiento será nulo si se presta por error”, apostilló, al tiempo que señaló que “ningún pago que se realice bajo los efectos de un engaño podrá ser considerado autorizado y será la entidad financiera la encargada de hacer frente al reembolso”.

En paralelo, la OCU solicitó a Basic-Fit que informe de la fecha “exacta” del ciberataque, por si se hubieran producido ya intentos de phishing a sus clientes. “La normativa de protección de datos obliga a comunicar las brechas de datos sin dilación indebida. Posponer esta obligación supone facilitar una posible estafa”, sentenció.

Por último, estimó que deberían contemplarse sanciones adicionales a las empresas hackeadas si “demostraran negligencia en la protección de los datos de sus clientes” y que, en todo caso, “debería reconocerse una indemnización a los afectados proporcional al riesgo derivado de la apropiación ilegal de sus datos personales”.