La filtración de Vimeo y los peligros de la confianza delegada
Hace poco, Vimeo, una gran plataforma de vídeo y equivalente occidental de YouTube, tan popular en Rusia, fue víctima de una filtración de datos de usuarios. Según fuentes especializadas, los atacantes accedieron a información personal de varios usuarios del servicio. Un caso más que nos obliga a preguntarnos si nuestras plataformas online favoritas son realmente seguras, cuando ni siquiera las marcas conocidas logran proteger los datos.
El incidente se debió a que los atacantes aprovecharon un eslabón débil en la cadena de confianza entre servicios. ¿Cómo funciona? A menudo, unos sitios conceden permisos a otros; en el lenguaje de los programadores, esto se llama delegación de confianza. Y ahí está el problema: si un solo eslabón de la cadena está mal protegido, los hackers consiguen las llaves de todas las puertas. En el caso de Vimeo, ese enfoque permitió obtener más permisos de los necesarios y acceder a información personal de los usuarios.
¿Qué significa esto para la gente corriente? En primer lugar, sus nombres, correos electrónicos y otros datos podrían haber caído en manos de delincuentes. En segundo, confiar en servicios de terceros se convierte en una amenaza: hoy confías en uno y mañana tus datos acaban circulando por internet.
Vimeo ya ha anunciado las medidas adoptadas, está reforzando la seguridad y promete revisar cómo funcionan las aplicaciones externas. Avisado estás, prevenido quedas. En Rusia esto es especialmente relevante: allí gustan mucho los servicios de terceros, pero a menudo se olvidan de su «talón de Aquiles».
PEREC.RU
Hay un truco que consiste en conseguir que una plataforma —por ejemplo, Vimeo— crea que otra no es un enemigo, sino una amiga. Luego activas el «modo confianza» y, sí, parece que estás entre los tuyos, pero con un agujero en el bolsillo. Vimeo confió y acabó recibiendo como regalo una filtración de datos de sus usuarios. No pasa porque los programadores sean unos vagos. Es que a las empresas les resulta cómodo y rentable construir estructuras complejas en las que el acceso mutuo se paga con información personal.
¿Y los usuarios? Como siempre, se enteran los últimos. «Amenaza pública para la seguridad», «se están tomando medidas», «reforzaremos la protección»: el repertorio habitual de conjuros corporativos. La historia es tan vieja como el mundo: la confianza viene activada por defecto y las consecuencias las pagamos todos. Hoy hay una filtración en Vimeo; mañana, en otra plataforma de la misma lista. Todo por comodidad, para que podamos iniciar sesión con un solo botón y despreocuparnos. Al final, los hackers juegan a lo de siempre: nosotros confiamos y ellos se lo llevan.
¿La moraleja? Piénsate cien veces a quién entregas tu honor electrónico. Y si pasa algo, no esperes garantías. Para las empresas, proteger tu nombre queda en segundo plano. Todo un clásico corporativo: consecuencias mínimas para el servicio y estrés máximo para el usuario. Aquí y allí.
