Cualquiera puede acceder a la cuenta de otro usuario con sólo conocer dónde vive y la respuesta a una "pregunta de seguridad" que en muchos casos es tan fácil de averiguar como su teléfono, el nombre de su mascota o su cantante favorito.
FACUA-Consumidores en Acción ha denunciado a Microsoft, Yahoo y Google ante la Agencia Española de Protección de Datos (AEPD) por un grave problema de seguridad en sus servicios de correo electrónico.
Y es que cualquiera puede acceder a la cuenta de correo de otro usuario con sólo conocer dónde vive y la respuesta a una "pregunta de seguridad" que en muchos casos es tan fácil de averiguar como su número de teléfono, el nombre de su mascota o su cantante favorito.
Así quedan al descubierto los mensajes enviados y recibidos por el afectado, además de poder usurparse su identidad tanto desde el correo como su programa de mensajería instantánea.
David Bisbal, extorsionado por este problema de seguridad
Precisamente esta misma semana ha trascendido a los medios de comunicación que el cantante David Bisbal fue extorsionado por cuatro personas que entraron en su cuenta de correo de Hotmail a través del sistema que FACUA plantea en sus denuncias.
Para apoderarse de una cuenta de Hotmail (Microsoft) o Yahoo sólo es necesario entrar en sus respectivas webs, teclear la dirección de correo electrónico indicando que su contraseña ha sido olvidada, indicar el país, provincia y código postal de su propietario y contestar correctamente a una pregunta que éste seleccionó al activarla o modificarla.
Con Gmail, de Google, ocurre lo mismo, aunque establece un plazo de cinco días desde que se indica el olvido de la contraseña hasta que puede recurrirse a la contestación de la "pregunta de seguridad" si la cuenta de correo sigue sin abrirse desde entonces.
Al contestar correctamente se brinda la posibilidad de modificar la contraseña, con lo cual el usuario se hará con el total dominio de todos los servicios e incluso podrá modificar la pregunta, lo que podría llegar a hacer imposible para el auténtico propietario de la cuenta de correo volver a acceder a la misma.
Un sistema inseguro
Así, al dar de alta una cuenta de Hotmail, se ofrece la opción de elegir una pregunta de entre una lista cerrada de seis para poder modificar la contraseña si alguna vez es olvidada por el usuario. Con Yahoo y Gmail la inclusión de la "pregunta de seguridad" no es opcional, sino obligatoria y se ofrece al usuario tanto una lista de propuestas (nueve y cuatro, respectivamente) como la posibilidad de escribirla él mismo.
FACUA considera que aunque los usuarios sean advertidos del peligro que supone introducir respuestas que puedan ser conocidas por otras personas, este sistema continuará siendo demasiado inseguro para un alto porcentaje de internautas.
Por ello, la asociación cree que la recuperación de una contraseña de correo sólo debe permitirse mediante su envío a una dirección electrónica alternativa facilitada por el usuario cuando dio de alta su cuenta, algo que también hacen los proveedores en paralelo al sistema denunciado, así como mediante otras opciones seguras como un SMS al teléfono del usuario o por correo postal con acuse de recibo.
Reclamación a Microsoft en 2004
De hecho, FACUA ya había reclamado a Microsoft que eliminase el sistema de la "pregunta de seguridad" en agosto de 2004, pero tras una reunión con la compañía en la que su departamento legal se comprometió a analizar el asunto, no volvió a recibir respuesta alguna.
Hasta que las compañías modifiquen sus protocolos de seguridad, FACUA recomienda a sus usuarios que eliminen la "pregunta de seguridad" si el sistema se lo permite o modifiquen sus datos de forma que su país o provincia sean falsos o la respuesta no guarde ninguna relación con la pregunta, de forma que no sea posible averiguarla por un tercero.
FACUA considera que este problema de seguridad implica una vulneración del artículo 9 de la Ley Orgánica 15/1999, de 15 de diciembre, de Protección de Datos de Carácter Personal y las instrucciones emitidas por la AEPD relativas a los procedimientos para acceder y rectificar los datos de carácter personal.
El citado artículo establece que las empresas "deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que esten expuestos, ya provengan de la acción humana o del medio físico o natural".
No hay comentarios:
Publicar un comentario