Publicada el 6 de agosto de 2020 en La Segunda

Imagínense la sorpresa que sufrió la mujer que esta semana se enteró que habían tramitado su divorcio sin su consentimiento. Su cónyuge tenía acceso a las credenciales de su ClaveÚnica y fue capaz de tramitar todo el procedimiento sin que ella se enterara.

En el contexto de la pandemia, muchos servicios públicos y privados han optado, entendiblemente, por flexibilizar sus requisitos de presencialidad. Sin embargo, este episodio da cuenta de cómo este relajamiento de las medidas de autenticación puede abrir la puerta a una proliferación de fraudes, estafas y distintas formas de suplantación de identidad.  

Y es que, aunque parezca sencillo, es todo un desafío demostrar que alguien detrás de una pantalla es realmente quien dice ser. En algunos casos, como la Comisaría Virtual o la consulta electrónica del Parque Padre Hurtado, se ha optado por exigir el RUT y número de serie del carnet. Esta es una forma sumamente deficiente de verificar la identidad a distancia, ya que ambos datos no son reservados, de hecho, figuran en el anverso del documento de identidad. La utilización de reconocimiento facial, por su parte, requiere que el usuario cuente con equipamiento que hace difícil su masificación y ha demostrado ser susceptible de ser burlado.

Otra alternativa, es la utilización de un servicio de identidad digital centralizado, como la ClaveÚnica. En este caso, se verifica la identidad de la personas presencialmente una vez y luego puede ser utilizada a través de las credenciales entregadas. Sin embargo, a medida que más trámites críticos pueden realizarse a través de este servicio (renunciar a un contrato de trabajo, constituir una sociedad, etc.) más relevante se vuelve que se cuenten con las medidas de seguridad necesarias. Así, por ejemplo, la ClaveÚnica todavía no exige un segundo factor de autenticación adicional a la contraseña (mensaje de texto o código pinpass) que hace años se exige para realizar transferencias bancarias.

Tomarse en serio la ciberseguridad será la única manera de equilibrar el cuidado de la fe pública con los beneficios de la digitalización. De lo contrario, corremos el riesgo de que nos divorcien sin consultarnos.

Publicado el 4 de febrero en La Segunda

La Cámara de Diputados deberá discutir el proyecto de ley que permite al presidente ordenar a las Fuerzas Armadas resguardas ciertas infraestructuras críticas, sin la necesidad de decretar estado de excepción. Más allá de las consideraciones constitucionales, políticas y simbólicas, esto tiene una serie de consecuencias en materia de ciberseguridad. 

Desde la dictación de la Política Nacional de Ciberseguridad, la identificación, priorización y el establecimiento de resguardos especiales a las infraestructuras críticas relacionadas con el ciberespacio ha sido una prioridad de política pública y una aspiración transversal de los distintos actores que son parte del ecosistema digital.

El proyecto del ejecutivo echa por tierra esa expectativa, al establecer una definición excesivamente amplia de infraestructura crítica. Se entrega, de esta forma, al presidente de turno la facultad discrecional y carente de todo control para hacerse no sólo de los inmuebles que se busca proteger, sino también de sus equipos, sistemas y componentes.

Como bien ha señalado Daniel Álvarez, esto es inaceptable en términos de ciberseguridad, porque abre la puerta para que el poder político tome el control de cualquier red informática privada o de otro poder del estado, a través de un simple decreto. ¿Estarán dispuestas empresas como Google, Microsoft o Apple a invertir en Chile como polo de desarrollo digital si saben que sus redes, procesos tecnológicos y equipos pueden ser ocupados por el gobierno de turno por simple decreto?

Internet se ha convertido en la fuerza transformadora que modeló la entrada al siglo XXI justamente porque su esquema de gobernanza es multisectorial. Instituciones académicas, organismos internacionales, gobiernos, empresas y sociedad civil comparten distintos roles y responsabilidades, sin que ningún sector se pueda arrogar la capacidad de monopolizar la red de redes.

Avanzar hacia una identificación y resguardo de la infraestructura crítica -especialmente en materia digital- requiere de un debate ponderado, técnico y basado en la evidencia. Eso implica una aproximación desde la gestión de riesgos, estableciendo los controles y garantías que permitan enfrentar de forma conjunta los distintos riesgos y amenazas en el ciberespacio. Para ello se requiere fortalecer la cooperación entre distintos actores, no entregar atribuciones peligrosas y arbitrarias al poder estatal.

Publicada originalmente el 15 de marzo de 2019 en La Segunda

La implementación de los nuevos medidores eléctricos ha generado un importante debate público en torno a las alzas que podrían generar y a quién le corresponde asumir esos costos. Sin embargo, un aspecto importante de estos dispositivos “inteligentes” ha sido dejado de lado: el potencial que tienen para perfilar nuestros hogares.

Existe evidencia de que -con una frecuencia de medición de 15 minutos- es posible inferir la rutina y el comportamiento de una familia, como los horarios en que los ocupantes están en casa, sus hábitos, sus días de vacaciones o incluso aspectos más sensibles sobre la vida privada de las personas. 

Más allá de los nuevos medidores, constantemente le damos la bienvenida a nuestros hogares a nuevos aparatos “smart”: desde sistemas de alarma a refrigeradores, relojes inteligentes y termostatos; cada vez adoptamos más dispositivos que están permanentemente conectados a internet. Esto tiene el potencial de facilitar y hacer mucho más cómodas nuestras vidas, pero también aumenta el riesgo de que estos aparatos y nuestra intimidad se vean comprometidos.

Distintos televisores inteligentes escuchan la conversación de sus usuarios en búsqueda de ciertos términos que permitan enviar publicidad personalizada. Otras empresas inescrupulosas han sido sorprendidas instalando micrófonos en sus productos sin informar al consumidor, incluso recolectando información sensible de menores de edad. Abarrotar nuestra cotidianidad de sensores y cámaras ha significado confiar en que estos distintos desarrolladores no harán un mal uso de la información que recolectan.

Además, hay un aspecto de seguridad asociado a estos aparatos, ya que suelen usar sistemas operativos muy simples, rara vez son actualizados y su mantenimiento se abandona al poco tiempo. El estar conectados a internet los hace blanco fácil para delincuentes informáticos, que aprovechan las vulnerabilidades de estos dispositivos para infectarlos y tomar control de ellos.

¿Por qué un hacker querría tomar control de mi refrigerador inteligente? Básicamente para utilizarlo como palo blanco en ataques cibernéticos de gran escala, generando “botnets” de hasta cientos de miles de aparatos comprometidos que se usan para ataques de denegación de servicio (DDoS) y otras actividades maliciosas.

Es por ello que la próxima vez que queramos adquirir un aparato doméstico vale la pena preguntarse ¿realmente es necesario que esté conectado a internet?

Publicado originalmente el 4 de febrero de 2019 en La Segunda

En menos de una semana nos enteramos que una lista con 773 millones de correos electrónicos y contraseñas fue filtrada por Internet, que siete años de documentos del FBI fueron hallados en línea y que la consulta comunal del Parque Padre Hurtado expuso los datos personales de todos quienes participaron en el proceso.

La pregunta obvia es ¿por qué se siguen filtrando nuestros datos? En simple: porque los responsables de resguardar esos datos no pagan las consecuencias. El daño reputacional suele no ser permanente; Equifax, Uber, Dropbox y otras empresas que han sufrido filtraciones de millones de datos de usuarios siguen operando sin problema y sus acciones no sufrieron una merma sostenida en el tiempo. 

Se hace necesario entonces contar con incentivos (garrotes) y estímulos (zanahorias) que permitan enfrentar el problema. Partamos por el garrote: la regulación debe imponer sanciones realmente  disuasivas y que no puedan contabilizarse en su estructura de costos. En la Unión Europea pueden establecerse multas de hasta un 4% de los ingresos anuales de la empresa, un claro incentivo para tomarse la seguridad de los datos en serio.

Ahora, ¿cuántas filtraciones existen de las cuales nunca nos enteramos? Entra en juego la zanahoria. Actualmente existen incentivos perversos para evitar que se hagan públicas las filtraciones de datos. Esto es complejo porque si una organización descubre una filtración de datos y no avisa a sus pares, nadie sale beneficiado.

A nivel comparado se ha avanzado en establecer la obligatoriedad de reportar incidentes informáticos, tanto a la autoridad como eventualmente a las personas afectadas. De esta forma, otros actores saben cuando una falencia en el sistema que utilizan es descubierta y pueden prevenir similares ocurrencias, pasando de la lógica del “sálvese quien pueda” a un círculo virtuoso de compartir información y permitir la prevención.

En Chile se ha avanzado en la obligación de reportar incidentes en instituciones financieras y organismos públicos. El proyecto de ley de datos personales propone una figura similar y lo extiende a cualquier responsable de bases de datos. Lamentablemente, el proyecto aún no sale del Senado (restando aún la Cámara de Diputados) a pesar de haber sido presentado hace casi dos años.