Los problemas de privacidad y seguridad sacuden el éxito de Zoom
Una simple línea de código ha abierto la caja de Pandora de
la privacidad y la seguridad de la app de videoconferencias Zoom. Una línea con
la que la propia empresa activaba un kit de desarrollo de software –más
conocido como SDK por sus siglas en inglés– de Facebook que permitía tanto a la
red social como a la aplicación recopilar sin consentimiento de los usuarios
determinados datos como la IP, el tipo de dispositivo, el sistema operativo y
la ubicación y uso horario de la conexión. “Ha afectado únicamente al ecosistema
de Apple. Este lunes ya enmendaron el error, pero el daño está hecho. Han
amasado datos masivos tengas o no cuenta de Facebook. Ahora pueden perfilar a
quienes se hayan conectado”, asegura la abogada Natalia Martos, fundadora de
Legal Army.
Ayer mismo, el INCIBE advirtió que Zoom ha publicado un
aviso de seguridad alertando sobre una vulnerabilidad para los usuarios de
Windows que podría permitir a los ciberdelincuentes robar información
confidencial y ejecutar archivos en el dispositivo de la víctima.
Todas estas prácticas han llevado a la fiscal general de
Nueva York, Letitia James, a abrir una investigación judicial. En una carta
remitida a la organización, pide que especifique qué clase de información
recopila, con qué propósitos y a qué otras entidades facilita datos de los
consumidores. “Es una empresa que no tiene en cuenta la privacidad. Aunque sea
difícil de probar, esto es una venta de datos en toda regla. Ha sacado tajada.
Nadie vende información gratuitamente. Más o menos es lo que sucedió con
Cambridge Analytica”, argumenta Martos. Pero esta falta de privacidad solo
representa la punta del iceberg de todas las polémicas que ha destapado la
cuarentena impuesta por el coronavirus en una aplicación cuyas descargas han
crecido gracias al confinamiento el 86% en un mes, de acuerdo con el portal
Crunchbase.
Una investigación de The New York Times ha revelado este
jueves que la aplicación contaba con una función de minería de datos, nada más
iniciar la sesión, que unía automáticamente los nombres de los usuarios y las
direcciones de correo con los perfiles de LinkedIn. Daba igual que durante la
llamada alguien utilizara un pseudónimo u optara por el anonimato. Si un
usuario activaba el servicio LinkedIn Sales Navigator, podía acceder a los perfiles
de esta red social de otros participantes en la videollamada al clicar en un
icono junto a sus nombres. El CEO de la compañía, Eric S. Yuan, ha anunciado
que durante los próximos 90 días congelará este tipo de opciones para
corregirlas y revertir los problemas de seguridad y privacidad detectados.
Ataques de trolls, intromisión en videollamadas ajenas,
enlaces públicos de las salas, una configuración predeterminada para el
intercambio de archivos que permite enviar malware… Una acumulación excesiva de
vulnerabilidades para el éxito cosechado recientemente. El uso de Zoom se ha
popularizado durante esta crisis gracias a la llegada a marchas forzadas del
teletrabajo, videollamadas entre amigos y familiares, clases a distancia y todo
tipo de conexiones en remoto.
Según transcurren los días, las polémicas se multiplican.
Algunos usuarios han confirmado que es relativamente sencillo que alguien
controle su actividad mientras están usando la aplicación. Por ejemplo, la
función One Zoom avisa a quien realiza la llamada si un invitado ha estado más
de 30 segundos sin el programa abierto en primer plano. De esa manera un jefe
podría saber si alguien ha seguido una reunión con más o menos atención. La
gestión de los correos electrónicos también ha generado controversia. La
aplicación agrega automáticamente a otras personas a la lista de contactos de
un usuario si se registran con un mail que comparte el mismo dominio. Puede
ayudar en la búsqueda de algún compañero específico, aunque la cara oculta es
que la compañía, al unificarlos como si trabajaran para la misma organización,
expone la información personal entre todos. “Si esto ocurre en la Unión
Europea, la multa sería impresionante”, zanja Martos.
Zoom se ha defendido de las acusaciones con una entrada en
su blog corporativo. Argumenta que no vende ningún tipo de información
personal; que respeta leyes de privacidad como el Reglamento europeo de
protección de datos y la normativa californiana, conocida como CCPA; y que no
controla reuniones ni tampoco el contenido intercambiado. Esto último ha
levantado cierto revuelo. Lo adelantaba el medio digital The Intercept al
afirmar que no existe un verdadero cifrado de extremo a extremo en las
videollamadas, sino uno TLS. Es decir, terceros no acceden al audio y vídeo, pero
la app sí puede hacerlo mediante el servidor por el que discurre la
información. “Continuaremos mejorando y evolucionando nuestro enfoque de
privacidad para asegurarnos de que estamos haciendo lo correcto para nuestros
usuarios”, precisa la empresa.
Entre tanto río revuelto, los ciberdelincuentes aprovechan
el momento para timar a los usuarios. Pese a ser una aplicación gratuita, en
las tiendas móviles podemos encontrarla por unos cuatro euros. Es un ejemplo
evidente de phishing –un conjunto de técnicas que persiguen el engaño a una
víctima ganándose su confianza al hacerse pasar por una persona, empresa o
servicio de confianza–. Suplantan la imagen de Zoom por otra idéntica, como si
superpusieran la identidad falsa sobre la original. “No hay recetas mágicas
para detectarlo. Hay que tener mucha precaución y comprobar todo. Si nos
fijamos bien, las empresas suelen incorporan datos de autenticidad”, sostiene
Óscar Lage, experto en ciberseguridad de Tecnalia.
Reparar parte de los errores resulta ya imposible. Como
mantiene Lage, estos problemas son el resultado de unos productos que,
simplemente, se fijan en la funcionalidad. “No se incluye la privacidad y la
seguridad desde el principio. La única solución que les queda es ir parcheando
la app. Lo ideal sería utilizar aplicaciones basadas en el código abierto,
mantenidas por la comunidad y auditables”, explica. Existen más opciones para
mantener el contacto digital o seguir trabajando desde casa. Cada una con sus
características y limitaciones, pero el éxito de Zoom no ha monopolizado las
videollamadas. “Google Hangouts y Skype serían unas buenas alternativas. Están
sometidas a una privacidad muy estricta”, concluye Martos.
