A un año del escándalo por Cambridge Analytica, nuevamente datos privados provenientes de Facebook fueron vulnerados en una escala masiva. Se trata de más de 540 millones de registros de usuarios de una base de datos generada por Cultura Colectiva, empresa mexicana de contenidos digitales, que se encontraban alojados en servidores de nube de Amazon.
“Son 146 Gb de registros que incluyen comentarios, ‘me gusta’ y nombres de usuarios de Facebook: el mismo tipo de colección y en concentraciones similares a las que se han reportado en otros casos, cuyo manejo potencial resulta preocupante”, señaló UpGuard, la empresa de ciberseguridad que descubrió el hecho.
El acceso a la base de datos de Cultura Colectiva se cerró el miércoles.
La información se almacenó en la nube de Amazon Web Services (AWS), pero bajo una configuración que permitía su descarga sin necesidad de contraseña. En su página web, AWS tiene una declaración acerca de protección de datos donde indica que permite a sus clientes “controlar el contenido mediante herramientas sencillas y potentes con las que puede determinar dónde se almacenará, proteger el contenido en tránsito y en reposo, y administrar el acceso a los servicios y recursos de AWS para sus usuarios”. O sea, si bien otorga las herramientas de seguridad, no se responsabiliza por quienes no las utilicen debidamente.
Por lo tanto depende de quien desarrolla las aplicaciones decidir el nivel de seguridad que quiere dar a la información que almacena en la nube.
La empresa responsable de la información, Cultura Colectiva, publicó en Twitter un mensaje en el que se dijo comprometida con la privacidad de los datos y la protección de sus usuarios, pero indicó que la información que les comparte Facebook es pública, no sensible y que puede ser vista por cualquier usuario de la red social.
Extendida vulnerabilidad
Esta noticia hace patente que luego del caso de Cambridge Analytica –del que México fue el quinto paísmás afectado–, no se ha trabajado adecuadamente en la protección de los datos de los usuarios de Facebook que manejan terceros. No solo eso, esta misma semana la red social se vio envuelta en una polémica luego de que se descubriera que ha estado solicitando a sus nuevos usuarios la dirección y la contraseña de sus cuentas de correo electrónico como parte del proceso de verificación para registrar nuevas cuentas, una acción que podría poner en riesgo más información confidencial de sus usuarios.
Lo particular de esta última noticia, señaló Juan Manuel Harán, analista de ESET, es que el hecho se conoció dos semanas después de que la compañía liderada por Mark Zuckerberg admitiera que durante años almacenó cientos de millones de contraseñas de usuarios en texto plano de manera insegura en servidores de la compañía que estaban accesibles a más de 20,000 empleados.
Por si esto fuera poco, recién en septiembre pasado Facebook tuvo que reconocer que una falla de seguridad permitía robar los tokens de acceso y dejaba al intruso en la sesión de la red sin tener que ingresar el password al iniciar la app. Esa falla afectó 50 millones de cuentas de usuarios.
