Sobre el asalto a Arsys

No puedo resistirme a poner unas líneas sobre el asalto a Arsys y sucesos posteriores, como la nota de prensa del ISP o el artículo de seguimiento de hoy de "El País".

La primera pregunta que me hice cuando leí la noticia fue: ¿Por qué la han filtrado? ¿Por qué la Guardia Civil filtra una noticia cuando aún no han cogido al "malo", están en plena investigación y no pueden ponerse la medalla? ¿Qué sentido tiene? ¿Qué intención oculta? ¿Quizás querían filtrar algún dato en concreto que hiciese dar un paso en falso a los malos?

Carlos Sánchez Almeida escribe hoy un artículo, La Revelación de San Bernabé, donde se pregunta también el por qué de la filtración, que considera "inoportuna", teniendo en cuenta que se está cocinando una ley precisamente sobre datos personales y su almacenamiento en los ISP. La ley, explica Almeida, obligará a que "todos los datos de tráfico de las comunicaciones electrónicas deberán registrarse y custodiarse durante un plazo de un año, al objeto de que puedan utilizarse por Juzgados y Tribunales para la persecución de delitos"

Si no me equivoco, esto cuadra con la última charla que le oí a Juan Salom, jefe de los ciberguardiaciviles. Salom casi suplicaba esta ley porque, explicó, no hay forma de trabajar con la que tenemos ahora: los ISP están obligados a guardar los datos de tráfico un máximo de x meses, pero no un mínimo. Por tanto, hay ISP que guardan los datos sólo un par de semanas y, cuando les vas a investigar qué hizo un usuario tal día, ya no hay nada.

Visto el contexto, me pregunto: ¿Filtrar esta noticia es una forma de mostrar que hay mucho crimen por combatir y esta ley es necesaria para pillar a los delincuentes?

Pero, si lo que decía la noticia de "El País" es cierto: "Algunos indicios apuntan a que han actuado a través de servidores ubicados en Rusia y EE UU. Ello dificulta el localizarles, porque utilizan servidores anónimos". No entiendo de qué serviría poder acceder a datos de tráfico de ISPs españoles para pillar a gente que ha actuado desde Rusia y proxies anónimos...

La segunda parte del texto de Almeida habla de la enmienda 72, que ha sido rechazada. Esta enmienda a la próxima ley "establecía que dichos datos de tráfico deberían cifrarse y la clave de cifrado debería ser custodiada por el Centro Criptológico Nacional".

Los datos robados en Arsys no eran de tráfico, pero eran datos. Y lo ocurrido es ciertamente un toque de atención hacia el peligro de que las empresas en la red guarden datos personales sin cifrarlos. Creo que la Ley de Protección de Datos tiene algo que decir sobre esto. Pero también el sentido común: ¿cómo es posible que las contraseñas de los usuarios se guarden en claro? Sinceramente, no me lo creo. No me creo que, a estas alturas y con tantos clientes, un ISP cometa un error de parvulario...

Tampoco entiendo a los intrusos, que fue la segunda pregunta que me hice: ¿Por qué han hecho el indio? Nunca he robado una base de datos pero, por lo que he oído, es relativamente fácil. Entras, la descargas y te largas. Nadie tiene por qué enterarse. Entonces, ¿por qué montar el pollo de manipular webs de clientes y que se entere todo dios?

¿Eran simples ladronzuelos? Decía la noticia de "El Pais": "Dada la sofisticación de medios empleada por los piratas, los investigadores están teniendo problemas". Habría que ver qué entienden las fuentes del periodista por "sofisticación" pero, si eres sofisticado, ¿montas tal cristo?. A no ser que quieras montarlo. A no ser que, quizás, el objetivo sea que se sepa. Y si no es por hacktivismo pro enmienda 72, que me huelo que no, ¿será por mandar a la porra la reputación de la empresa?

Paranoica estoy hoy :) Posiblemente eran unos script-kiddies que ni sabían donde estaban ;)

Precisamente el otro día hablaba en el blog de leyes y netiqueta y buscaba ejemplos de ciberdelitos comunes. Aquí tenemos uno que no ha seguido la ética del hacking. ¿Qué hacemos con esto? Pues que se apliquen las leyes. Pero para todos.

Una de las cosas que más me ha llamado la atención del caso Arsys es que, al conocerse la noticia, todo el mundo andaba preguntando el nombre del ISP víctima del asalto. Ya que hablamos de leyes, algunos estados norteamericanos tienen una muy interesante. No sirve para cazar al delincuente, pero sí para que los ciudadanos estén más informados, lo que significa tranquilos o con los datos suficientes para pasar a la acción, sea la que sea. Esta ley obliga a las empresas a informar públicamente de robos y pérdidas de datos de usuarios/clientes. Si tuviésemos esta ley aquí, se habrían evitado muchos sustos, incertidumbre y miedo.