Mi startup fue pirateada: lo que hice bien (y lo que no) |

Un día en el otoño de 2014, cuando todavía estaba ayudando a dirigir una startup que cofundé (no la que estoy trabajando por ahora), un cliente me envió un correo electrónico que creía sospechoso.

El correo electrónico se parecía mucho a algo que mi compañía enviaría. Se vinculaba a un sitio web que se parecía mucho al nuestro y ofrecía una gran oferta en el mismo servicio que proporcionamos. La URL del sitio era casi idéntica a la nuestra también.

Inmediatamente tuve un mal presentimiento, pero mi primera reacción fue decirme a mí mismo que era solo un competidor que de alguna manera había recibido el correo electrónico de un único cliente.

No un gran problema.

Luego, otro cliente reenvió el mismo correo electrónico. Y otro, y otro.

Muy pronto quedó claro que alguien había obtenido una lista de nuestros clientes y les enviaba correos electrónicos para tratar de engañarlos para que pagaran a la compañía equivocada por nuestro servicio.

Estaba enojado y preocupado. ¿Quién estaba haciendo esto? ¿Cómo habían obtenido la información de nuestros clientes? ¿Cuánto tenían?

En última instancia, creo que la forma en que reaccionamos fue en general buena, pero cometimos algunos errores clave. Espero que si alguna vez te encuentras en esta situación, mi historia te ayude a responder mejor.

Ver también: 5 consejos, trucos y engaños para un mejor trabajo Enfoque

Primera respuesta: lo que hicimos bien

Lo primero que hicimos fue comunicarnos con nuestros clientes. Enviamos un correo electrónico describiendo lo que sabíamos hasta ahora, advirtiéndoles que no hagan clic en los enlaces de los correos electrónicos que recibieron de la compañía falsa, y que nos envíen algo sospechoso.

Les aseguramos que estábamos investigando lo que sucedió y sería transparente.

A continuación, comenzamos a investigar. Revisamos los correos electrónicos que nuestros clientes nos enviaron y le pedimos a nuestra persona de TI que revise nuestro sitio y vea si hubo una infracción. También comenzamos a investigar el origen de los correos electrónicos.

IT no pudo encontrar una infracción, pero los correos electrónicos mostraron un patrón. Todos ellos eran clientes cuya información había sido almacenada en una aplicación web que ya no usábamos. También recibimos correos electrónicos enviados a cuentas de prueba que solo existían en la aplicación anterior.

Los signos apuntaban a la aplicación web anterior como la violación de datos. Actualizamos rápidamente a nuestros clientes, explicando quién se vio afectado, por qué y qué datos podrían haberse visto comprometidos.

Nos comunicamos con el antiguo servicio de aplicaciones web, les contamos lo sucedido y les pedimos que eliminaran todos nuestros datos heredados de sus sistemas.

También descubrimos qué servicio de correo electrónico masivo usó el hacker para enviar los correos electrónicos, y les informamos la situación. En unas pocas horas, obtuvimos una respuesta de que el asunto había sido investigado y que el remitente ahora tenía prohibido usar ese servicio.

Esto ayudó mucho. Además de evitar que enviaran más correos electrónicos de ese servicio, eliminó los enlaces en los correos electrónicos que ya habían enviado, por lo que al hacer clic en ellos no enviamos a nuestros clientes a ninguna parte. Finalmente, tomamos medidas para reforzar la seguridad en nuestra compañía.

Hasta ahora, todo bien.

Vea también: ¿Cómo debe manejar a los clientes insatisfechos?

Enojarse: Donde me equivoqué

I estaba enojado por lo que había sucedido.

Decirle a los clientes que su información no había estado segura con nosotros nos avergonzó. Tuve que malgastar los mensajes en nuestra lista de marketing por correo electrónico, tan difícil de conseguir, para explicar esta situación, en lugar de nuestro servicio.

Y me preocupaba que eso perjudicara a nuestra pequeña empresa, con poco dinero.

No solo eso, Yo ya estaba extremadamente ocupado. Me enojó que esa vez que podría haber estado gastando en muchas otras cosas estaba siendo absorbido por esto.

Así que, junto con todo lo demás, comencé a investigar a la persona responsable de enviar los correos electrónicos.

No fue así. toma mucho tiempo descubrir quién era y obtener una cuenta de Skype para contactarse. Traté de llamar, pero la persona se negó a responder, así que terminé teniendo una conversación de Skype con él. Le dije lo que sabía, prometí que lo reportaríamos a cualquier entidad legal que tuviese jurisdicción sobre esto (nunca encontré a nadie en la policía que se preocupara por hacer algo) y le dije que ya le habíamos expulsado de un servicio de correo electrónico, y continuaría haciendo esto con cualquier otro que lo encontráramos usando.

Afirmó que nunca había pirateado nuestro sistema y que había comprado los correos electrónicos como clientes potenciales en otro lugar, sin saber que habían sido robados de nuestra empresa. Era casi creíble, pero ¿cómo habían sabido construir un sitio tan similar al nuestro, con una URL y correos electrónicos similares?

Lo llamé mentiroso y algunas otras palabras de elección.

No sé qué Esperaba de esto. En el mejor de los casos, solo le hice saber que habíamos descubierto su plan y le dimos la oportunidad de frustrar nuestros esfuerzos para arreglar la situación. En el peor de los casos, puede haber enojado a alguien que podría haber causado un daño grave a mi negocio.

Durante meses después estuve paranoica de que mi compañía fuera atacada de alguna manera. Afortunadamente, mi enfurecido enfrentamiento no generó más problemas.

Envió algunos correos electrónicos más a nuestros clientes, y cada vez pudimos expulsarlos del servicio de correo electrónico que usaban. Finalmente, se detuvo.

Vea también: Cómo manejar y evitar la publicidad negativa

Lo que Yoda estaba tratando de decirme todo el tiempo

Si alguna vez se encuentra en una situación similar, le aconsejo comunicarse con sus clientes inmediatamente. No creo que hayamos perdido un cliente como resultado del truco, y creo que una gran parte de nuestro éxito fue la transparencia.

Además, investigue la situación y haga todo lo posible para descubrir cómo y por qué sucedió. para que puedas mitigar el daño adicional. Parte de la razón por la que pudimos lograr que el pirata informático fuera expulsado de los servicios de correo electrónico masivo es que pudimos decirle a los proveedores exactamente qué direcciones de correo electrónico habían sido robadas. Pudieron comparar esto con la lista que cargó el pirata informático, lo que reforzó nuestra historia.

Recuerde que el hecho de que haya dejado de usar una herramienta web particular no significa que usted y la información de su cliente aún no residan. ahí. Hable con los servicios con los que ha trabajado en el pasado, descubra qué sucedió con sus datos anteriores y, si todavía está allí, elimínelos.

Finalmente, resista la tentación de contactar a las personas responsables. Informe de ello a cualquier persona que pueda ayudarlo, sea transparente con sus clientes y mitigue el daño.

Libérese de su enojo. Como dijo una vez un famoso maestro Jedi, es el camino hacia el lado oscuro.