La organización avisó al operador, al menos, tres días más tarde
La peligrosa alerta de Facua sobre la brecha de seguridad de Movistar
Son muchas las voces que han criticado la forma de actuar de Facua, que conocía la vulnerabilidad desde el pasado jueves 12 de julio.
Algunos expertos en seguridad creen que la manera de proceder de Facua no fue el correcto.
Movistar vuelve a ser noticia. Y no se trata por una de sus habituales subidas de precios o por la presentación de un nuevo servicio o tarifa, sino por una nueva brecha de seguridad en su página web que permitía acceder a millones de datos personales de sus clientes.
La voz de alerta la dio Facua el 16 de julio, pero su forma de actuar ha sido criticada por diversos expertos en seguridad informática.
La organización comunicó al operador el domingo 15 esta vulnerabilidad, que era fruto de un «error básico de programación que permitía acceder a los nombres de clientes, domicilios o direcciones de correos electrónicos, entre otros datos personales».
Pocas horas después, en la madrugada del domingo al lunes, Movistar solventó el fallo tras la eliminación de algunas funcionalidades de su web.
Un experto en ciberseguridad: «Se ha hecho por hacer daño o anotarse un tanto mediático»
No obstante, eso no evitó que el lunes Facua detallase en una rueda de prensa la existencia de este fallo, lo que ha originado las críticas de varios expertos de seguridad.
Uno de ellos es Román Ramírez, fundador del congreso de ciberseguridad Rootdecon, que afirma en declaraciones recogidas por El Confidencial: «No puede ser que cualquiera que encuentre una vulnerabilidad, vaya a por una empresa sin avisarla con el tiempo necesario, porque puede provocar que entren personas a aprovecharse de ese problema».
Según explica Ramírez al mismo medio, «el procedimiento de Facua no ha sido ni honrado ni ético. Se ha hecho simplemente por hacer daño o por anotarse un tanto mediático. Es muy peligroso y muy dañino».
En la misma línea se pueden encontrar opiniones como las del usuario @goldrak, administrador de seguridad de la Universidad San Jorge, quien a través de Twitter y sin eximir de su responsabilidad a Movistar, define el comportamiento de Facua como una «irresponsabilidad» por el hecho de avisar de la vulnerabilidad un domingo por la tarde y, al día siguiente, hacerlo público a los medios de comunicación.
Me parece una cagada por parte de @Telefonica pero me parece aun mas una irresponsabilidad por parte de @facua avisan un domingo por la tarde y el lunes lo publican… Entonces ahora los sistemas de @facua los podemos auditar todos sin preguntar y liberando la info… https://t.co/rTbtdxPe7u
— goldrak (@goldrak) 16 de julio de 2018
A todo esto, hay que añadir que la organización de consumidores ya conocía la vulnerabilidad hacía varios días, como mínimo, desde el jueves 12 de julio, tal y como queda reflejado en el vídeo difundido para demostrar la existencia de este fallo.
Aun así, Facua no avisó hasta tres días después al operador de la existencia de esta brecha. Antes, había pasado por una notaría «para que verificase y levantara acta de las irregularidades».
Facua se defiende: «En caso de que no lo hubiera corregido, nuestra idea era no dar más detalles»
«No nos fiamos de Telefónica; si no hay acta notarial, pueden decirnos que no existía y que se van a querellar contra nosotros», comentan desde Facua a otro diario digital, La Información. «Dimos a conocer el nombre de la empresa a las 10:00 y como ha corregido el fallo ya hemos compartido los detalles; en caso de que no lo hubiera corregido, nuestra idea era no dar más detalles«, asegura Rubén Sánchez, portavoz de la organización al mismo medio.
La organización defiende que su manera de actuar fue la adecuada, aunque ya el domingo por la tarde había avisado a través de su cuenta de Twitter de «un agujero de seguridad en la web de una de las principales empresas del Ibex 35 que da acceso a los datos de facturación de sus clientes».
El martes 17, a través de un nuevo comunicado Facua insta a Movistar a informar a todos sus clientes del agujero de seguridad que sufrió.
Para ello la organización de consumidores apela al principio de transparencia del Reglamento General de Protección de Datos, que establece que cuando se produce una brecha de seguridad hay que comunicarla a los afectados.
Temas relacionados seleccionados por la redacción:
La telefonía móvil, epicentro de las antipremios anuales de Facua
Facua, otra vez en pie de guerra contra Movistar, Orange y Vodafone
Movistar gana la batalla a Facua por la subida de precio de Fusión
