Qué hacer ante el robo de base de datos de clientes
El “robo” de una base de datos de clientes rara vez se parece a una escena de película. En la práctica, suele ser una extracción silenciosa: una exportación del CRM a Excel, una sincronización a una nube personal, un reenvío a correo privado o una descarga masiva desde Drive/SharePoint. El problema aparece después, cuando un competidor contacta a tus clientes con información que no debería conocer o cuando detectas una caída de conversiones “inexplicable”.
Cuando suceda un robo de base de datos de clientes se debe actuar rápido importa por dos motivos:
-
La prueba se degrada (logs que caducan, equipos que se formatean, cuentas que se borran).
-
El daño crece (fuga de clientes, presión a márgenes, pérdida de ventaja comercial).
Esta guía te explica qué hacer, qué pruebas necesitas, qué medidas puedes pedir y qué reclamar, con enfoque de empresa.
Antes de nada: ¿siempre es “robo” y siempre es secreto empresarial?
No toda “lista de clientes” es automáticamente un secreto empresarial. Para que lo sea de manera defendible, conviene que concurra lo esencial:
-
No sea información pública ni fácilmente reconstruible.
-
Tenga valor competitivo por su contenido (no solo nombres: también condiciones, márgenes, historial, decisores, timing, objeciones, precios, pipeline…).
-
Esté protegida con medidas razonables: accesos por rol, contraseñas/MFA, logs, restricciones de exportación, política de confidencialidad, NDAs, etc.
Traducción: un Excel con “nombre y teléfono” puede ser discutible; un CRM con condiciones comerciales internas suele tener mucha más fuerza como secreto.
Protocolo inmediato: qué hacer en las primeras 72 horas
A. Preservar evidencia (sin contaminar)
-
Revoca accesos: cuentas, tokens, VPN, SSO, correo, CRM, Drive/SharePoint.
-
Conserva logs y backups: no borres, no “limpies”, no restaures sin antes preservar.
-
Aísla equipos corporativos potencialmente implicados siguiendo un protocolo interno (cadena de custodia).
Evita “investigaciones caseras” que alteren metadatos o generen dudas sobre integridad.
B. Identificar el vector de exfiltración (de dónde salió)
Revisa de forma prioritaria:
-
CRM/ERP: exportaciones, descargas, consultas masivas.
-
Drive/SharePoint/Dropbox corporativo: descargas masivas, comparticiones externas, sincronizaciones.
-
Correo corporativo: reenvíos, reglas automáticas, adjuntos enviados a cuentas personales.
-
SSO/VPN: accesos desde IPs raras, nuevos dispositivos, horarios anómalos.
C. Activar pericial informática cuanto antes
Una pericial informática temprana suele ser el punto de inflexión: ordena los hechos, construye una línea temporal y convierte sospechas en evidencia defendible (o descarta hipótesis).
Señales típicas de que ha habido sustracción de la base de datos
-
Exportaciones repetidas del CRM a CSV/Excel en días previos a una baja.
-
Descargas masivas de carpetas de “comercial”, “clientes”, “ofertas”, “tarifas”.
-
Envíos a correo personal o uso de nubes privadas.
-
Accesos fuera de horario o desde ubicaciones inusuales.
-
Contacto de competidores a tus clientes con conocimiento de condiciones internas.
Qué pruebas suelen “valer” (y cuáles suelen ser débiles)
Pruebas fuertes (objetivas)
-
Logs del CRM/ERP: exportaciones, descargas, actividad por usuario.
-
Logs de Drive/SharePoint: descargas, comparticiones, enlaces creados.
-
Logs de correo: reenvíos, reglas, adjuntos.
-
Registros SSO/VPN: IP, dispositivo, fecha/hora.
-
Evidencia de uso posterior: ofertas clonadas, correos de captación dirigidos, coincidencias documentales.
Pruebas más débiles si van solas
-
“Me llamó un cliente y me dijo…” (útil, pero necesita encaje probatorio).
-
Capturas de pantalla sueltas sin contexto.
-
Sospechas basadas solo en el hecho de que alguien se fue y luego compite.
En la práctica, el caso se gana cuando puedes explicar: qué se extrajo, cuándo, cómo, y para qué se usó.
Qué vías tienes y cuándo conviene cada una
A. Vía civil/mercantil (competencia desleal / secreto empresarial)
Suele ser la vía más efectiva para parar el daño con rapidez mediante medidas cautelares.
Qué puedes pedir (según el caso):
-
Cesación del uso de la base de datos.
-
Prohibición de contacto con esos clientes usando información sustraída.
-
Retirada y devolución de soportes/archivos.
-
Destrucción de copias y cesión de dispositivos/entornos donde se aloje.
-
Requerimientos de conservación (evitar borrado de evidencias).
-
Indemnización por daños y perjuicios.
B. Vía penal (cuando procede)
Se valora cuando hay indicios sólidos de apoderamiento/uso/revelación de información empresarial con entidad suficiente, accesos indebidos o conductas especialmente graves. La clave aquí es no improvisar: hechos + evidencia técnica + estrategia.
En muchos escenarios, la mejor estrategia es dual: cautelares civiles para frenar y vía penal si la pericial y los indicios lo justifican.
Qué reclamar: medidas y conceptos indemnizables
Más allá de “que devuelvan el Excel”, en empresa suele haber varias capas de reclamación.
Medidas de cesación y corrección
-
Parar uso y difusión.
-
Retirar campañas dirigidas basadas en la base sustraída.
-
Entrega/devolución/neutralización de copias.
Daños económicos directos
-
Pérdida de clientes: margen perdido, ingresos no obtenidos con base razonable.
-
Erosión de márgenes: descuentos forzados por competencia “informada”.
-
Costes de recuperación: campañas para retención, refuerzo comercial.
Costes de remediación y seguridad
-
Auditoría interna, pericial, refuerzo de controles, consultoría técnica.
-
Reconfiguración de accesos, rotación de credenciales, herramientas DLP.
Daño competitivo
-
Pérdida de ventaja en licitaciones o negociaciones por exposición de pricing/estrategia.
-
Pérdida de oportunidades (pipeline).
Cuándo llamar a un abogado: 5 señales de alarma
-
Exportación masiva del CRM o descargas anómalas.
-
Reenvíos a correo personal o compartición externa de carpetas sensibles.
-
Competidor contactando a clientes con conocimiento de condiciones internas.
-
Ofertas “clon” en estructura o pricing.
-
Borrados, sabotajes o cambios de permisos justo antes de una salida.
Errores que hunden el caso (muy frecuentes)
-
No preservar logs: muchas plataformas retienen actividad un tiempo limitado.
-
Investigar manipulando equipos sin método: cuestiona integridad de prueba.
-
Acceder a dispositivos personales sin cobertura: puede volverse contra la empresa.
-
Amenazas o comunicaciones impulsivas al presunto responsable o a clientes.
-
Denunciar sin base técnica mínima: desgaste y archivo temprano.
Prevención: cómo blindar tu CRM para que “sea defendible” si pasa algo
-
Acceso por roles y mínimo privilegio (no todo el mundo ve todo).
-
MFA/SSO y logs activados con retención suficiente.
-
Alertas por exportaciones masivas y descargas inusuales.
-
Restricción de compartición externa y control de nubes personales.
-
Protocolo de offboarding: revocación inmediata, checklist, devolución y recordatorio de confidencialidad.
-
Políticas internas claras + NDAs con empleados y proveedores con acceso.
¿Una lista de clientes siempre es secreto empresarial?
No necesariamente. Depende del contenido (si incluye condiciones, márgenes, decisores, histórico) y de las medidas de protección de la empresa.
¿Qué hago si sospecho pero no tengo pruebas?
Preserva evidencia, revisa logs y activa pericial informática. Actuar sin método suele empeorar el caso.
¿Qué es más rápido para frenar el uso: civil o penal?
Con frecuencia, la vía civil con medidas cautelares es más directa para parar el daño. Penal se valora si hay indicios fuertes o hechos graves.
¿Puedo reclamar aunque no haya pérdida de clientes todavía?
A menudo sí, especialmente para pedir cesación y medidas preventivas si el riesgo de uso y daño es real y documentable.
¿Qué pruebas son más útiles en casos de CRM?
Exportaciones (CSV/Excel), logs de actividad del usuario, descargas, comparticiones, reenvíos de correo y registros de acceso (SSO/VPN).
¿Cómo evito “contaminar” la prueba?
No manipules equipos sin protocolo, conserva logs y backups, y coordina la investigación con peritos y asesoramiento legal.
robo de base de datos de clientes
#NuestraRaZóndeSer: En RZS Abogados somos especialistas en Penal Económico y litigación empresarial, con experiencia en la defensa y protección del secreto empresarial, procedimientos por apropiación y revelación de información confidencial y conflictos de competencia desleal vinculados a fuga de datos y ex empleados. Si necesitas actuar con rapidez (medidas urgentes, preservación de evidencia, estrategia civil/penal), contacta con nosotros en el 915 433 123 o en el correo
