Enrique Dans

Si hace pocos días nos planteábamos sobre quién debía recaer la responsabilidad en caso de fallos de seguridad, hoy tenemos un caso práctico del tema.

Para los fundadores de Snapchat, compañía revelación del pasado 2013 por el fortísimo crecimiento de su servicio de intercambio de imágenes garabateadas y efímeras, el 2014 no ha podido comenzar peor: tras varias advertencias de una empresa de seguridad sobre la debilidad de su API y las grandes posibilidades que ofrecía para su uso malintencionado, ayer día 31 se encontraron con que, efectivamente, tras ¡varios meses! ignorando el tema, alguna de esas vulnerabilidades había sido explotada, y una página web ofrecía la descarga gratuita de una base de datos de 4.6 millones de nombres de usuario y números de teléfono.

Por el aspecto, parece ser simplemente un ataque llevado a cabo para evidenciar las malas prácticas de seguridad de la compañía, pero dado que no es el primer caso ni va a ser el último, vale la pena plantearse varias cuestiones: la primera, qué debemos hacer ante noticias como esta.

Ataques de este tipo, sean como prueba de concepto o para su explotación, se han convertido en algo tristemente habitual que afecta tanto a compañías como Snapchat, en fase de fuerte crecimiento pero con problemas para priorizar los habitualmente escasos recursos de una startup, como a empresas tan consolidadas como Adobe, Gawker, Sony, Vodafone o Yahoo! Ante la noticia, lo primero que debemos hacer es ver si estamos afectados. Si existe una base de datos disponible para su descarga o consulta, es bueno ver si nuestros datos están incluidos en ella. Si no, si simplemente somos usuarios y no se ha publicado nada todavía, lo más correcto es asumir que sí lo estaremos. Generalmente, la empresa afectada pondrá en marcha un mecanismo que obligue a la regeneración de contraseñas, en cuyo caso deberemos hacer login en el servicio lo más rápidamente posible para evitar que nuestra cuenta sea accesible a cualquiera.

Pero además, debemos pensar si esos datos pueden de alguna manera comprometer otros servicios en los que hayamos podido utilizarlos. Aunque es bien sabido que utilizar la misma información de acceso en diferentes servicios es una mala práctica de seguridad, hay un muy elevado número de usuarios que lo hacen, o que reservan contraseñas fuertes para servicios que consideran críticos y utilizan otras de manera indistinta para servicios menos importantes. Sea como sea, una noticia de este tipo debe llevarnos a un replanteamiento de nuestras prácticas de seguridad y a tratar de tapar lo antes posible los posibles servicios que hayan sido expuestos. Ante una noticia como esta, muchos usuarios pueden reaccionar simplemente con un «bah, total es Snapchat, no es un servicio crítico, simplemente lo estaba probando, tampoco pasa gran cosa». No caigamos en el simplismo: las posibilidades de que alguien con interés en perjudicarnos encuentre el nombre de usuario que utilizamos en otro servicio en esa base de datos y lo use para enviar mensajes aparentemente en nuestro nombre, o trate de entrar en otros servicios más críticos en los que usemos la misma información de acceso puede generar situaciones bastante incómodas o peligrosas.

Con servicios vulnerables como WhatsApp pasa lo mismo: he perdido ya la cuenta del número de personas que me han dicho eso de «total, para lo que hago con WhatsApp, no necesito mucha seguridad». ¿Nos hemos parado a pensar en las posibles consecuencias de alguien suplantando nuestra identidad en un servicio como ese y generando malentendidos entre nuestra lista de contactos? ¿O tratando de utilizar esquemas de hacking social para ir extrayendo más información referente a nosotros, como ocurrió en el muy comentado caso de Mat Honan? Casos muy similares a ese los he visto repetidos entre mis alumnos en varias ocasiones: a partir de un servicio teóricamente poco sensible comprometido, el delincuente utiliza partes de la información obtenida para vulnerar otros, y se dirige a contactos con mensajes que pueden ir desde el muy burdo «estoy de viaje y me han robado la cartera, por favor mándame dinero» hasta esquemas bastante más sofisticados.

La segunda cuestión es hacer siempre consideraciones del peor caso posible: que el ataque haya sido simplemente demostrativo o que la base de datos se limite a exponer campos considerados poco críticos no debe hacernos pensar que estamos a salvo: una vez la información está ahí fuera, puede moverse y cambiar de manos con suma facilidad – de hecho, es habitual que lo haga – y que termine sirviendo un propósito diferente al inicialmente buscado.

No, la seguridad total no existe. Pero cada día más, creamos cuentas en servicios de todo tipo cada vez que los vemos surgir o alcanzar una cierta popularidad, en ocasiones sin saber muy bien por qué o simplemente por asegurarnos que si terminan siendo populares, tendremos disponible una cuenta con nuestro nick favorito. O como es el caso de alguno de mis grupos actuales de alumnos con Snapchat, un servicio aún no excesivamente popular en España: porque hablamos del servicio en clase y eso hace que se despierte cierto interés por él. Todas esas piezas sueltas de nuestras vidas digitales son, en un momento dado, explotables por un tercero con la suficiente malicia. Ante noticias como la de Snapchat de hoy, por tanto, estemos atentos, hagamos memoria y revisión de nuestras prácticas, y mejorémoslas en la medida de lo posible recurriendo a gestores de contraseñas y estrategias similares. No se trata de ser paranoico, sino de poner las cosas en su sitio y evitar posibles malas experiencias.

(This post is also available in English in my Medium page, “Snapchat joins the long list of password breaches«)