IG Securities revela el manejo indebido de 190,000 registros de clientes en Japón

IG Securities, la filial con sede en Japón del IG Group, divulgó en una fecha no especificada que había gestionado de manera inadecuada aproximadamente 190,000 registros de clientes clasificados como “información personal específica”, incluidos los números de identificación nacional de Japón conocidos como My Number. El incidente se originó en prácticas y acciones internas de manejo de datos por parte de IG Markets Limited, una entidad afiliada que actuaba como contratista externo, en lugar de tratarse de una brecha externa confirmada.

Escala de Exposición

IG Securities identificó dos escenarios de exposición separados. En el primero, 162,879 registros de clientes eran accesibles dentro de ciertos sistemas utilizados en todo el IG Group. La empresa afirmó que el acceso se mantenía interno, pero la magnitud suscitó preocupaciones sobre qué tan ampliamente los datos sensibles podían verse fuera de sus límites previstos.

En el segundo caso, 29,734 registros se almacenaron en un servidor administrado por un proveedor de servicios en la nube. IG Securities indicó que ese almacenamiento se realizó sin su consentimiento previo, lo que sugiere una falla en la supervisión entre la entidad japonesa y el contratista que gestionaba los datos.

Tipos de Datos y Contexto Regulatorio

La información afectada incluía nombres completos, fechas de nacimiento, género, direcciones residenciales, números de teléfono, direcciones de correo electrónico e identificadores de My Number. Los datos de My Number están sujetos a estrictas reglas de manejo en Japón debido a su uso en los sistemas de impuestos y de seguridad social.

Japón aplica controles estrictos a la “información personal específica”, en particular a los identificadores de My Number. Se espera que las empresas que manejan estos datos limiten el acceso, utilicen procesos de almacenamiento aprobados y eviten el procesamiento o la divulgación no autorizados.

IG Securities dijo que su investigación no encontró evidencia de que los datos de los clientes se filtraran fuera de la empresa o fueran accedidos por partes externas no autorizadas. Sin embargo, un manejo interno inadecuado aún puede desencadenar el escrutinio regulatorio, órdenes correctivas y daños a la reputación, especialmente cuando se trata de datos sensibles de identificadores nacionales.

Gobernanza de Datos y Respuesta de la Empresa

La divulgación destaca los riesgos operativos creados por estructuras globales de corretaje, donde los datos de los clientes pueden moverse entre entidades, plataformas y jurisdicciones. En este caso, la participación de IG Markets Limited demuestra cómo la delegación dentro del grupo puede generar brechas entre los controles establecidos por escrito y el manejo real de los datos.

IG Securities emitió una disculpa formal y anunció planes para reforzar su marco de gobernanza de datos. Los pasos planificados incluyen controles más estrictos sobre cómo las entidades afiliadas acceden y almacenan los datos personales, junto con procesos de aprobación más claros para infraestructura externa como servidores en la nube.

La empresa no divulgó si los reguladores han sido notificados formalmente ni si se están revisando las sanciones. Con más de 190,000 registros involucrados en ambos escenarios, el caso podría llamar la atención de las autoridades de protección de datos de Japón.