Seguridad en las Redes Sociales

El pasado 7 de marzo de 2013, tuve la oportunidad de asistir a una jornada sobre Seguridad y Redes Sociales en el centro Nazaret, de San Sebastian. En esa jornada, Iñaki Pariente de Prada, director de la Agencia Vasca de Protección de Datos (AVPD), hacía una ponencia muy interesante bajo el título “Redes Sociales, Internet y la privacidad de las personas: ¿un conflicto permanente?”, grabada y disponible en el portal Youtube.

Fuente: soxialmedia.com

La ponencia se desarrollaría en el siguiente marco:

“En esta conferencia haremos, de una forma lo más amena posible, un breve repaso por los orígenes de la privacidad de las personas, y el debate en el que nos encontramos actualmente cuando se ha multiplicado el uso de las nuevas tecnologías y de Internet como forma habitual de relación entre las personas.

En este debate, hay que reivindicar un equilibrio adecuado entre ambos, tecnología y privacidad, promoviendo el uso de las nuevas tecnologías en los entornos adecuados y con las medidas de seguridad y privacidad que son necesarias, sin limitar las funcionalidades y usos que tienen estos mecanismos, redes sociales y otras formas de comunicación que fomentan y mejoran en muchos casos las relaciones interpersonales.

En medio de este debate se encuentra la protección de los datos de las personas, de lo que también hablaremos en esta conferencia, así como la defensa y prevención ante los malos usos y los posibles perjuicios que se pueden ocasionar a algunos grupos sociales que por distintos motivos son de mayor riesgo.”

Cuando usamos las redes sociales, se tiende a confundir dos términos respecto a la protección del usuario. Hablamos de seguridad y privacidad. Son dos cosas diferentes aunque generalmente se usan para decir lo mismo. Podemos decir que las redes sociales son seguras, como cualquier otra web, ya que usan protocolos de seguridad en la navegación, como HTTPS, para conectarte a tu perfil, y en el caso de tener aplicaciones, como Facebook o Twitter, estas tienen que pasar por un control previo antes de ser aprobadas.

Por ejemplo, Twitter tiene un espacio dedicado a los desarrolladores, interesados en integrar Twitter en sus aplicaciones. Las formas más comunes de interactuar con la plataforma son las clásicas ventanas emergentes para enviar tweets, y los botones de tweet o follow, usando código básico HTML o Javascript. Pero Twitter permite integraciones más complejas, ya sea para monitorizar determinados términos o hashtags, timelines, etc. o para seguir un evento en streaming.

He intentado contactar con el departamento de desarrolladores para conocer que procesos deben pasar las aplicaciones para Twitter, pero al carecer de métodos directos para contactar con ellos, la única respuesta que he recibido es que me registre en su programa para desarrolladores y que suba mi aplicación, por lo que si quiero saber como funciona tendría que, efectivamente, crear una aplicación. Si nos atenemos a las noticias que hemos podido leer durante estos meses de 2013 (ver Anexo), muchas aplicaciones escapan al control y pueden hacer estragos en nuestras cuentas antes de que Twitter suspenda su acceso a la aplicación. Un ejemplo lo encontramos con una aplicación que mandaba mensajes directos en Twitter con nuestra cuenta sin nuestra autorización.

Fuente: twittboy.com

A raíz de estos problemas, Twitter actualizó el sistema de permisos:

“El ecosistema de Twitter contiene cientos de miles de aplicaciones interesantes desarrolladas por terceros, diseñadas para mejorar tu experiencia de Twitter. Las aplicaciones de terceros te permiten hacer cosas como compartir tus Tweets automáticamente en otras redes, conectar con jugadores en plataformas de videojuegos, o hacer Tweets instantáneos cuando actualizas tu blog.

Una aplicación de terceros te ayuda acceder a tu cuenta de Twitter a través de un proceso de permisos. Hoy estamos anunciando una actualización que te ayudará a hacer una elección más informada sobre la forma en que las aplicaciones de terceros se integran con tu cuenta de Twitter:

Más control

A partir de hoy, te damos más control sobre la información que quieres compartir con aplicaciones de terceros. Las aplicaciones que usas y que tienen acceso a tus mensajes directos te pedirán permiso para conectar con tu cuenta de nuevo. Para el final del mes, las aplicaciones que no necesitan acceso a tus mensajes directos ya no lo tendrán, y podrás seguir usando estas aplicaciones como antes.

Pantalla de permisos con más detalles

Cuando autorizas una aplicación para acceder a Twitter por primera vez, te daremos más detalles sobre lo que estás permitiendo a la aplicación hacer con tu cuenta. Estas actividades podrían incluir leer tus Tweets, ver a quién sigues, actualizar tu perfil, hacer Tweets a tu nombre, o acceder a tus mensajes directos. Si no estas cómodo con el nivel de acceso que una aplicación te pide, simplemente puedes decir "No, gracias."

Hemos estado preparando estos cambios en respuesta a las solicitudes de usuarios y desarrolladores, quienes nos han pedido un mayor nivel de claridad y control. Para ver o hacer cambios a la lista de las aplicaciones que has aprobado, visita la página de “Aplicaciones” en tu cuenta de Twitter.”

Aun así, estamos en el problema (ético), por parte de las grandes compañías, de que con estas soluciones se lavan las manos y dejan que el problema sea del usuario, que no lee o no sabe leer. Es un tema especialmente peliagudo, ya que el boom de las Redes Sociales en particular, y de la tecnología en general, ha pillado en pañales la educación de muchos, respecto a la importancia de leer que es lo que permitimos que hagan los programas que utilizamos.

Aunque las webs de las redes sociales, en general, son seguras siguen siendo susceptibles de ataques. Los más probables o plausibles son los ataques de phishing o suplantación de identidad, en los que mediante ingeniería social, el phiser obtiene los datos del usuario accediendo a su cuenta de forma no permitida. Otro de los ataques más frecuentes que podemos ver, en estas redes tan grandes son los ataques de denegación de servicio o DDoS (en inglés Distributed Denial of Service), en los que básicamente los atacantes buscan saturar los servidores e impedir que los usuarios puedan conectarse a la red social. (ver Anexo)

Un fenómeno, que con el paso ha ido aumentando según los estudios de empresas como Kaspersky, es el de que los hackers personalizan sus ataques con la información de las redes sociales. Extrayendo un fragmento de esta noticia en el diario La Razón:

“La geolocalización y la información de las redes sociales se han convertido en un gran aliado para los ciberdelincuentes, que utilizan la ubicación de los usuarios para sus ataques. Se ha comprobado que antes de lanzar ataques, los ciberdelincuentes filtran a sus víctimas siguiendo criterios como lugar de residencia, hobbies, idioma o intereses específicos.”

Es algo que va unido con el término privacidad. Hoy en día hacemos vida on-line y vida off-line. Algo que se ha puesto de manifiesto es que lo que antes contábamos a nuestros familiares y amigos en persona (vida off-line), ahora lo ponemos en nuestro perfil de Facebook o lo comentamos en Twitter en 140 caracteres. Más allá de lo que hagan las empresas que están detrás de cada red social con nuestros datos, eso que contamos de nuestra vida lo puede leer prácticamente cualquiera. Es algo que comentaba Iñaki Pariente de Prada en su ponencia, en muchas ocasiones el usuario no es consciente del filtro de privacidad que le aplica a sus datos en las redes sociales, y argumentaba que tal vez deba ejecutarse un cambio en la política de las empresas, que en vez de ofrecer un filtro débil de privacidad (es decir, que lo pueda ver cualquiera), que por defecto nos ofrezcan la máxima restricción y que sea el usuario el encargado de cambiarlo a su gusto.

Aun así, las redes sociales han magnificado las relaciones entre personas, cuando antes tenías veinte o treinta amigos ahora tienes doscientos o trescientos. Cuando antes, tus ideas y tus comentarios iban dirigidos a tus amigos o incluso tus compañeros de clase o de trabajo, ahora gracias a Twitter pueden llegar a veinte, doscientos o dos millones de personas.

Esto no es necesariamente malo, todo lo contrario, compartir es vivir, pero con limitaciones. La educación no ha ido acompañando a este monstruoso incremento en el uso de las redes sociales. Los usuarios, en su gran mayoría, no son conscientes del impacto que tiene la llamada privacidad del usuario, que corresponde a sus datos personales sobretodo. Por eso, el principal problema reside en la concienciación del usuario.

Según los datos recogidos en la encuesta, usamos habitualmente casi dos redes sociales diferentes por persona (1,84). De los 307 encuestados, tan solo un 8% dice no usar ninguna red social.

De entre los que si utilizan, las más usadas son Facebook, Twitter y Tuenti, por ese orden, aunque también hay datos recogidos sobre Myspace, Soundcloud, Google+, LinkedIn, Pinterest, Foursquare, Instagram y tumblr.

Red Social	Personas	Porcentaje
Facebook	228	74,27%
Twitter	191	62,21%
Tuenti	126	41,04%
Otras	44	14,33%
Ninguna	25	8,14%

En el gráfico de abajo, observamos la distribución presentada en la tabla de la página anterior.

En el siguiente gráfico, obtenido de la encuesta realizada para este proyecto, podemos observar el uso de Internet por edades.

Dos tercios de los encuestados tienen 30 años o menos, frente al tercio restante que se reparte en partes iguales entre los 31 y 41 años y los mayores de 41 años.

En casi todos los rangos de edad vemos porcentajes que se acercan a la realidad de la sociedad. Los jóvenes entre 18 y 24 años, entre los que yo me incluyo, somos los que hemos vivido más de cerca el boom de las redes sociales y del uso de Internet. Los datos recogidos sobre los menores de edad son escasos, y no reflejan la cantidad real de internautas menores de edad, por un simple motivo, la complejidad de la encuesta, dirigida a un público más adulto.

Estamos en una sociedad fuertemente conectada a las redes sociales, pero hay un problema subyacente. El usuario, cuando se registra en una red social, acepta y firma un contrato, en el que se especifica cual va a ser el tratamiento de los datos que proporcione a la misma. Pero es que es algo que pasa con prácticamente todo, ya sean los programas que instalamos (aceptamos una licencia cuando lo hacemos), o cuando nos descargamos alguna aplicación para nuestro smartphone (además de la licencia le tenemos que añadir los permisos que le otorgamos la misma), y un largo etcétera.

Este es un pequeño fragmento del contrato que firmamos cuando nos registramos en Facebook. En él, he subrayado unas cuantas líneas que me han parecido interesantes, lo suficiente como para resaltarlas.

El contrato que firmamos cuando nos registramos en una red social es el precio que pagamos los usuarios por utilizar sus servicios. Las redes sociales son gratuitas, hasta cierto punto. Si bien es cierto que no nos exigen ninguna clase de pago por suscripción, pero las redes sociales comercian con nuestros datos, bajo nuestro consentimiento informado. Siempre actúan con nuestro consentimiento, de eso se encargan las respectivas agencias de protección de datos. Esto nos puede parecer bien o mal, pero técnicamente nadie nos obliga a registrarnos en ellas, salvo la presión social de quedar excluido si no la usas, algo que tiene especial influencia en los menores de edad, pero las empresas no hacen nada ilegal, pese a la creencia popular.

El problema está en que solo un bajo porcentaje de las personas se lee estos contratos, como podemos observar en el siguiente gráfico, según los datos obtenidos en la encuesta, en azul las respuestas afirmativas.

Así mismo, preguntaba en la encuesta si sabrían donde acudir en caso de que se hiciera un uso indebido de sus datos, y en caso afirmativo, si sabría donde acudir. Solo un 27,69% sabría donde acudir, pero de ese bajo porcentaje, solo el 7,82% acudiría al lugar correcto, la agencia española de protección de datos (o cualquiera de sus delegaciones, como la agencia vasca de protección de datos).

Como podemos ver en los datos reflejados, el conocimiento de nuestros derechos es más bien limitado, y más cuando hablamos de Internet. Muy pocas personas conocen la existencia de la Agencia Española de Protección de Datos, lo cual me lleva a pensar en que algo se está haciendo mal. No pongo en duda su funcionalidad, pero es necesario por parte de esta institución darse a conocer. (ver Anexo)