Por Enrique Dans*
Fue mi primera reacción al ver las primeras noticias sobre el impresentable hack a Twitter: «esta buena gente, en términos de seguridad, son una auténtica invitación al desastre».
Ahora, a medida que vamos teniendo más información sobre lo sucedido, mi intuición prueba ser completamente acertada: resulta que en Twitter no se habían limitado a desarrollar herramientas que permitían un control prácticamente omnímodo de las cuentas de los usuarios, sino que, además, esas herramientas estaban en manos de nada menos que unas mil personas de la organización. Visto así, no es de extrañar que la compañía llevase meses intentando fichar a un Chief Information Security Officer (CISO)… ¡es que ningún profesional de la seguridad en su sano juicio querría trabajar en un sitio así!!!
Cuando más de mil personas tienen las llaves de la puerta de tu casa, es completamente seguro que en algún momento, alguien va a entrar y va a hacer lo que no debería hacer. Es imposible mantener unas prácticas de seguridad mínimamente razonables cuando resulta que mil personas no solo tienen acceso a una herramienta, sino que además, esa herramienta permite llevar a cabo acciones prácticamente ilimitadas con una cuenta de usuario. La analogía es inmediata: Twitter está llena de monos con metralletas.
¿Qué beneficio obtenemos del hecho de contar con una herramienta que permite actualizar una cuenta de usuario como si fueras el propio usuario? En caso de tener problemas con un usuario, como un comportamiento indeseado, fraudulento, no conforme con los términos de uso, etc., un administrador debería, lógicamente, poder desactivar la cuenta, impedir el acceso del usuario a la misma o eliminar una publicación. Hasta aquí, todo bien: si somos hackeados, alguien podrá cerrar algunas cuentas o eliminar algunos tweets. Pero que sea capaz de escribir una actualización como si se tratase de algo escrito por el propio usuario es algo que, simplemente, no tiene ningún tipo de lógica ni de sentido, porque eso no es algo que un administrador deba poder hacer.
Si a eso añadimos que esa herramienta, claramente desproporcionada en su funcionalidad y que no debería existir, la tienen en sus manos más de mil personas, es decir, que has convertido a más de mil personas en administradores de las cuentas de todos tus usuarios con un nivel de acceso omnímodo, ¿de qué nos extrañamos? Lo mínimo que podía pasar – y de hecho pasó – es que algunos de esos más de mil empleados fueran unos irresponsables imbéciles que se dedicaban a inventarse incidencias para poder acceder a las cuentas de algunos de sus ídolos. De eso a un hack que te ponga en ridículo y que destroce la confianza que tus usuarios depositan en ti, va muy poco.
El último hack a Twitter no es más que una prueba de lo que ocurre cuando una organización descuida completamente sus prácticas de seguridad y las convierte en una auténtica opereta. En realidad, la compañía tuvo una enorme suerte de que quienes se propusiesen acceder a esas cuentas no fuesen profesionales, sino simples aficionados, porque todo, desde el propio hack hasta las reacciones de la compañía, prueban lo desastroso de la situación.
Que más de mil personas tengan acceso a una herramienta de administración que nunca debió existir es la evidencia de que, en Twitter, nadie sabe dónde diablos están las llaves de nada. Es lo mínimo que puede exigirse a una compañía en términos de seguridad: qué sepa qué personas tienen acceso a qué procedimientos. Si no lo sabes, puede pasar cualquier cosa, lo que sea, que la compañía, simplemente, dará palos de ciego durante horas para simplemente intentar entender qué es lo que está pasando. Y el problema, en este caso, no es la información personal de sus usuarios, que Twitter recopila más bien poca, sino su imagen pública.
Si eres usuario de una cuenta de Twitter y le das una mínima importancia a lo que pones en ella, si depende tu imagen de ella, o si es una cuenta corporativa, vete pensando qué vas a hacer y cómo vas a reaccionar si este problema o uno similar vuelve a repetirse, porque las probabilidades son, desgraciadamente, elevadísimas. La cultura de seguridad de una compañía que ha demostrado ser tan desastrosa no se cambia de un día para otro. La seguridad de Twitter es un peligro. El otro día únicamente lo podíamos intuir. Ahora, además, lo sabemos.
Puedes leer el artículo original aquí.
*Texto íntegro e imágenes, publicados gracias a licencias Creative Commons
