Las cuatro fallas críticas de la versión digital que dejaron datos personales en riesgo
Seguridad informática. Más de 50% de los censados eligieron este método. Especialistas explican qué problemas tuvo.
El Censo 2022 tuvo varias dificultades. No solo porque una parte de la ciudadanía no fue censada, sino por serios problemas de seguridad informática en la versión digital. Algunos de estos errores de diseño, que evidenciaron faltas de testeos o auditorías deficientes, tienen un impacto en los datos personales de quienes eligieron este método para censarse. Y que, según datos oficiales, es más del 50% del total.
El primer problema grave se había detectado hacía dos meses, en marzo de este año. En aquel entonces, Cristian Borghello, experto en seguridad informática, había advertido a Clarín que con el correo electrónico de quienes se censaran online, el sistema permitía saber el domicilio del censado.
“Para los ciudadanos esto implica un problema grave porque significa que cualquiera podría acceder a los datos y, con los mismos, un delincuente puede dirigir y perfeccionar cualquier tipo de robo, fraude,
estafa o suplantación de identidad. Supuestamente estos datos serán protegidos pero el Estado ya ha demostrado que no es capaz de hacerlo y, suponiendo que lo hagan, ¿por qué se debería confiar en los proveedores y en quienes acceden (con permiso) a los datos?”, se preguntaba el especialista.
Este problema inundó las redes sociales este fin de semana pasado, cuando el administrador de sistemas y experto informático Javier Smaldone lo denunció en Twitter: “Esto lo que permitía es que cualquiera, sabiendo el mail de alguien que haya completado el censo online, supiera el domicilio. Imaginemos
a alguien que se está escondiendo de un acosador, por poner un ejemplo. Llenó el censo, el acosador puso el mail y puede saber dónde vive”, hipotetizó.
El escenario que plantea Smaldone deja ver una constante en el tratamiento de los datos personales de los ciudadanos: vale recordar que en 2020 la Dirección Nacional de Migraciones sufrió un hackeo y filtración de datos, y en 2021 el Renaper tuvo un acceso no autorizado que publicó datos personales, incluso con las fotos de los documentos de ciudadanos (uno de los puntos más sensibles en robos de datos) para ser vendidos en sitios de la dark web.
Clarín confirmó con el Indec que una de las empresas que auditó el sistema fue Ernst & Young, representada por Pistrelli, Henry Martin y Asoc.
Este problema fue “corregido” el lunes, dos días antes del censo. Lo curioso fue que en conferencia de prensa, Marco Lavagna aseguró que “no era una vulnerabilidad” sino que la información estaba deliberadamente desplegada en el sitio web. Ante la pregunta de Clarín (Irene Hartmann), el titular del Indec dijo que ante reportes de que los mails no llegaban a los usuarios, la entidad decidió desplegar los datos personales en la página.
La app de los censistas, vulnerable Un segundo problema tuvo que ver con la aplicación que usaron los censistas, en la que se detectó al menos dos fallas de seguridad informática graves.
En primer lugar, todos utilizaban la misma clave, Censo2022. Y esto supone un problema: “La contraseña debe ser algo único, que nadie sepa, distinto por usuario, cumplir condiciones de complejidad y tiene que cumplir otras características, como la posibilidad de ser cambiada. Poner una contraseña sola e idéntica para 650.000 usuarios es casi un chiste de una clase de seguridad informática, publicarla encima en YouTube es inaudito y no dejar que los censistas la puedan cambiar lo convierte en el colmo de la contraseña”, explica Maximiliano Firtman, programador experto y docente.
Un tercer problema fue reportado también por Borghello, esta semana. Y, según su perspectiva, es crítico: “Hay (aún ahora) dos archivos de configuración de las API y están expuestos los token/secrets de Google Maps y de la empresa Auth0, lo cual permitiría a terceros no autorizados ejecutar consultas y validaciones en esas empresas en nombre del censo y abusar de dichas APIs”, explicó. Las API (Application Programming Interfaces) constituyen un conjunto de protocolos que se usan para desarrollar e integrar el software. Es lo que se usa, en muchos casos, para “comunicar” apps entre sí.
“Exponer ‘APIs secrets’ en un archivo de configuración es una pésima práctica y esos archivos deberían formar pa rte del backend [lo que el usuario no ve] y nunca ser expuestos. Desconozco si esto quedó de prueba o realmente se utiliza en la actualidad pero esto demuestra que nunca se hizo (o se hizo mal) un análisis de seguridad de las aplicaciones del censo ni un proceso de hardening del mismo, ni de la aplicación expuesta al ciudadano ni aquella para los censistas”, explicó.
Censo post censo: correo saturado
Finalmente, el sistema informático también tiene un problema de seguridad para algunos agentes oficiales del Indec. Muchos ciudadanos advirtieron que no fueron censados. Ante este problema, el Indec habilitó un sistema de “días de recuperación”, por el cual extendió el censo online durante seis días.
Pero acá también hubo inconvenientes. No solo porque “pedir” a la ciudadanía que realice activamente el censo constituye una dificultad operativa, sino porque empezaron a rebotar los mails.
“Cómo mucha gente no fue censada, el Gobierno decidió habilitar una casilla de email para recibir reclamos. Unas 18 horas después, usuarios reportaban que sus reclamos eran rechazados (‘rebotaban’). La casilla se había llenado”, contó Mauro Eldritch, arquitecto en ciberseguridad.
“Pero no solo eso, esta casilla es en realidad un alias que agrupa a varios usuarios tras una misma dirección. Esto significa que cada mail recibido le llega a su vez a otros miembros del grupo. Los reclamantes recibían una notificación explicando que la dirección de destino estaba llena. En la misma se divulgaban otras doce direcciones que conformaban el grupo de correo: todas de uso oficial y pertenecientes a agentes del INDEC.
No solo habían llenado una casilla, sino una docena”, detectó Eldritch.w
Con el e-mail de quienes se censaron, el sistema permitía saber el domicilio de la persona.