Enrique Dans

Un desastroso hackeo sobre Twitter que afecta a muchos de sus usuarios más prominentes pone de manifiesto las inaceptables prácticas de seguridad de la empresa del pajarito azul, convertida a lo largo de los años en una herramienta con una importancia desmesurada capaz de generar no pocos problemas en caso de mal uso, y que, como podemos ver, está muy lejos de responder a ello con un mínimo de responsabilidad.

Que todo es susceptible de ser hackeado es una verdad incuestionable. Pero igualmente verdadero es que todos aquellos que alcanzan un determinado nivel de relevancia están o deberían estar obligados a preverlo de una manera mínimamente adecuada, a tener planes de contingencia que permitan evitar posibles daños. La evolución de los acontecimientos en el caso de Twitter revela claramente que la compañía no solo no ha sido capaz de hacer algo así, de gestionar su seguridad con la profesionalidad suficiente como para evitar esos posibles daños – no los que han tenido lugar, sino los que serían susceptibles de haber ocurrido cuando alguien, aparentemente, puede tomar control de cualquier cuenta de Twitter – y, además o incluso peor, carecen de una rutina adecuada para proporcionar rápidamente información a sus usuarios, solucionar el incidente y restaurar el servicio con todas las garantías.

La catástrofe ocurrida en Twitter entre ayer y hoy es completa y absolutamente imperdonable, una irresponsabilidad inaceptable. Cualquiera puede ser objeto de un ataque, sí, pero ese ataque nunca debería posibilitar que alguien tomase control de la cuenta de ninguno de tus usuarios y que hiciese con ellas lo que le diese la gana. Que un usuario se ponga en peligro por utilizar una contraseña débil o por dar acceso a su cuenta a una aplicación no fiable, puede ser. Pero que un usuario con todas sus rutinas de seguridad en orden se encuentre con que pierde el control de su cuenta – y de su imagen pública, con eventuales responsabilidades legales incluidas – porque alguien en Twitter no ha hecho sus deberes o no los ha hecho con el nivel de responsabilidad que debería tener, es inaceptable.

Ese nivel de control sobre la cuenta de un usuario jamás debería ser posible, ni siquiera debería existir ninguna herramienta dentro de la compañía que permitiese hacer algo así. Como compañía, es razonable que puedas desconectar una cuenta o eliminar un tweet, pero JAMÁS tuitear como ese usuario. Nadie, absolutamente nadie desde dentro de Twitter debería tener la posibilidad de obtener el control de la cuenta de un usuario y de generar contenido de ningún tipo desde ella. ¿Qué podría pasar? ¿Hacer un anuncio desde una cuenta corporativa que haga caer su cotización? ¿Acceder a la cuenta de un líder mundial y anunciar un ataque a otro país? WTF?

Mucho menos aún debería, ni siendo empleado ni siendo el mismísimo Jack Dorsey, ser capaz de obtener un listado de contraseñas, que como es bien sabido, deberían estar fuertemente cifradas, inaccesibles incluso para la propia compañía, y con garantías totales en todo momento.

Que alguien sea capaz de acceder a los sistemas de Twitter entra dentro de la categoría de accidente posible. Pero que a raíz de ese acceso pueda hacer lo que ha hecho, acceder a cuentas de usuarios y tuitear como si fueran ellos, elimina el matiz de «anecdótico» y lo convierte en inaceptable. Las cosas dejan de ser «una broma» o «un incidente aislado» y deben escalar para ser objeto de responsabilidades legales. Pero incluso cuando podemos comprobar que todas esas irresponsabilidades pueden ocurrir y que la compañía, obviamente, no ha hecho bien sus deberes en el ámbito de la seguridad, lo siguiente es incluso más grave aún: no ser capaz de tener una mínima rutina para tranquilizar a tus usuarios y, sin ningún tipo de mensaje explicativo, limitarte a cerrarles el acceso a sus cuentas durante muchas horas.

Ya que no tienes suficiente responsabilidad como para mantener tu casa a salvo de sinvergüenzas, por lo menos, tienes que saber comunicar rápidamente lo que ha pasado, generar tranquilidad y tratar a tus usuarios como se merecen. A estas alturas, muchas horas después del inicio del desastre, lo único que he recibido de la compañía es una patada que me echa de mi cuenta, me pide que resetee mi contraseña y, cuando lo intento, me devuelve una estúpida pantalla azul que me dice que «algo ha ido técnicamente mal». Genial. Ni una explicación, ni algo que me permita saber si mi cuenta está a salvo y no va a empezar a tuitear estupideces fuera de mi control, ni una disculpa… nada. Silencio total. Como un «estamos de vacaciones, o un «está pasando… estamos comiendo». Ni en el blog de la compañía, ni en ningún otro canal, más que en unos cuantos tweets (gran consuelo cuando no puedes ni entrar en tu cuenta para verlo). Y eso, muchas horas después de iniciarse el problema. Cero en responsabilidad, cero en profesionalidad, y cero en gestión de crisis.

Completamente inaceptable.

This article was also published in English on Forbes, «Twitter: the lights are on, but there’s nobody home«