La divulgación pública de datos de Facebook y la inquietante sensación de adicción a la violación de datos

(Para Alejandro Otero)
12/04/21

La tecnología no es una excepción, ya que cualquier otro ámbito de la sociedad tiene sus argumentos y unas palabras mágicas que están en boca de todos.

La ciberseguridad en las últimas dos décadas está en el podio entre los temas que dominan el panorama tecnológico internacional. Un fenómeno que se puede observar no solo en los laboratorios de los productores de hardware y software, también ha tenido un gran protagonismo en los salones donde se discuten estrategias sociopolíticas internacionales.

De hecho, desde 2016 uno de los temas que más pensamientos ha ocupado, y para algunos las noches de insomnio, ha sido la correcta gestión de los datos personales con los ahora famosos y sólo parcialmente digeridos. Normativa General de Protección de Datos Personales Europeo en resumen GDPR. 

Este reglamento ha jugado el papel de plataforma de lanzamiento para toda una serie de atenciones, incluida la imposición de la aplicación de medidas de seguridad adecuadas a los sistemas y datos personales. Obligación ligada mano a mano con el fenómeno del robo de datos que al mismo tiempo se ha convertido en una pesadilla cada vez más acuciante para los responsables de la seguridad de la información en todo el mundo.

Con la sensibilización de los poderes legislativos y de los expertos en informática, los medios de comunicación también empezaron a percibir el interés que estos aspectos podrían haber despertado en la ciudadanía en general y por ello formato que han atravesado el fenómeno de la ciberseguridad. En la actualidad son varias las películas, documentales, series de televisión y diversos especiales verticales que se han emitido en las redes nacionales por excelencia.

Esta amplia premisa pretende dar a conocer lo que solo son las últimas noticias que han golpeado a la red y el medio de comunicación que tiene como protagonista al redes sociales por excelencia: Facebook.

Me refiero al portal de socialización que ha marcado inequívocamente el comienzo de una nueva vida social y probablemente ha cambiado de manera irreversible la forma en que las personas se conocen.

De hecho, desde hace unos días se dispone de un impresionante archivo de datos, que parece rondar los 15GB, que contiene todos los datos que habían sido sustraídos por los sistemas del citado sitio en el no tan lejano 2019. Dentro de este archivo se encuentra mucha información relevante como el número de teléfono de los usuarios utilizado para la confirmación de las cuentas, nombres, apellidos, dirección de correo electrónico.

La noticia se ha convertido en realidad en un interés mundial en estos días porque una vez que estos datos han perdido valor económico, alguien ha decidido ponerlos a disposición de todos de forma gratuita.

Sin embargo, la piedra angular de este evento no debe pasarse por alto, los datos robados se pusieron a la venta en primer lugar en la famosa "web oscura". No hace falta mucha imaginación para adivinar quién sería el cliente ideal para este producto. Organizaciones interesadas en una amplia lista de contactos a los que "comunican" información con fines publicitarios, por ejemplo.

Pero peor aún, este tipo de bases de datos resultan muy útiles para organizaciones maliciosas que realizan ataques de diversa índole. Son excelentes fuentes para lanzar campañas. suplantación de identidad, campañas de "ataque por pulverización" y dada la gran cantidad de datos, no sería sorprendente que fuera posible llevar a cabo actividades de "minería de datos" encontrando patrones de ataque óptimos para ingeniería social.

Finalmente, los números de teléfono son un excelente medio de ataque para "smishing" e ideales para vender a empresas de telemarketing de todo el mundo.

Una vez agotado todo el pool de posibles compradores de este producto, ha llegado el momento de dejar esta información a merced de toda la red para que incluso aquellos que no tengan los recursos económicos suficientes o intereses para invertir en él puedan utilizarla como prefiero.

Sin embargo, lo que puede ser interesante de observar es que este evento es solo el último de una larguísima serie de "violaciones de datos" que se han producido en los últimos años, en nuestro sitio tenemos un artículo que incluye las de 2020: un año de piratería (v.articolo)

Gigantes de todo tipo se han visto afectados, por mencionar solo algunos: el sitio de subastas en línea más antiguo y famoso eBay, el portal líder de ofertas de empleo y la red social profesional LinkedIN, algunas de las cadenas hoteleras más importantes del mundo como Marriot, desarrolladores de juegos y empresas de software como Sony e Nintendo.

Si desea saber si sus datos fueron parte de uno de estos incidentes y la consiguiente divulgación de datos robados, puede utilizar el sitio "'; - ¿me han pwned?" accesible en la dirección https://haveibeenpwned.com/. Dentro de esta página puede averiguar, a través de una ventana de búsqueda muy sencilla con su dirección de correo electrónico, número de teléfono o contraseña, si se encuentra entre las víctimas de una "violación de datos".

Volviendo al foco del artículo, se han robado millones de registros en cada uno de estos incidentes importantes y cada vez que se ha producido una de estas "filtraciones de datos", el eco que ha generado en los insiders siempre ha sido menor. Incluso los medios de comunicación han comenzado a dar cada vez menos protagonismo a estas noticias casi como si no fueran noticias reales después de todo.

Quizás la noticia sea, por tanto, que a estas alturas todos somos un poco "adictos" a la realidad del robo de datos y que para nuestra sociedad el Violacíon de datos son solo uno de los muchos eventos normales a los que estamos acostumbrados.

Incluso el mismo COVID nos ha enseñado que después de más de un año de pandemia, los números diarios que traquetean infectados y, lamentablemente, fallecidos se desclasifican en pequeños artículos sobre las noticias.

En los primeros momentos, en lugar de la emergencia, se llevaron a cabo verdaderas maratones que trataron cada número con gran celo. Desafortunadamente, este tipo de adicción puede crear una dinámica de riesgo en la mente de alguien, porque podría encender la dinámica psicológica de decir algo como: "Si les pasa a todos, ¿por qué debería importarme más que a los demás?".

En cambio, nuestra misión, ya que creemos que debería ser un deber cívico de todos, es mantener la conciencia pública siempre alerta sobre el hecho de que los impactos relacionados con una "violación de datos" están proporcionalmente directa y exponencialmente vinculados a la cantidad y criticidad de los datos que se roban.

El mundo que hemos creado y que gracias a la aceleración digital de una pandemia se establece cada vez más, se basa totalmente en bases de datos simples y complejas. 

Esta tendencia siempre debe compensarse con la conciencia de que las bases de datos deben protegerse en la mayor medida posible y de que deben gestionarse respetando los principios de seguridad de la información, en particular el privilegio mínimo y la “necesidad de saber”. Es un equilibrio social que va mucho más allá de la tecnología. 

Lo que ya no sorprende es que estos robos se perpetran porque se viola una identidad digital que sirve de entrada. Y tenga en cuenta que para los primeros pasos de las fases de entrada de los atacantes, no se requieren credenciales con muchos privilegios.

Con mucha más frecuencia de lo imaginado, son usuarios muy normales con los que se llevan a cabo las primeras fases del ataque, la famosa “huella”. Una vez que haya recopilado información valiosa gracias a esos usuarios, es posible que los atacantes comiencen a planificar los próximos pasos de una manera mucho más sensata. Ya no se moverán en la oscuridad intentando aquí y allá con intentos triviales de fuerza bruta, tendrán direcciones y estrategias perfectamente tejidas para el objetivo de turno. 

Se puede hacer un paralelo imaginario con películas de acción en las que la banda de ladrones antes de iniciar el atraco se encarga de recopilar información sobre el objetivo a robar. El mapa del edificio, las patrullas del cuerpo de seguridad, los nombres de los guardias, etc. Esta información se utiliza luego para llegar al botín, que en el caso de ataques de información son las propias bases de datos. 

En última instancia, me gustaría llamar su atención sobre el fenómeno del ransomware. A menudo se los considera en sí mismos como el verdadero problema, especialmente desde el punto de vista de la seguridad informática. A decir verdad, más a menudo de lo que cree, son más útiles para cubrir las huellas de los atacantes que para obtener el rescate necesario para "liberar" los datos.

Esto se debe a que hoy en día la sensibilidad hacia estos riesgos se ha vuelto fuerte y cada vez más empresas hacen copias de "respaldo" de los datos y, por lo tanto, se ven cada vez menos obligadas a pagar los rescates para volver a decodificar los datos. 

Solo queda seguir hablando de estos fenómenos para sensibilizar a quienes gobiernan procesos y naciones hacia una filosofía de evolución tecnológica sostenible y consciente.

Si desea obtener más información sobre el ataque recibido por Facebook, consulte el artículo de Wired. https://www.wired.com/story/facebook-data-leak-500-million-users-phone-n... .