Una vulnerabilidad en la abandonada red social de Google ha expuesto los datos personales de «cientos de miles de personas» que utilizaron la plataforma entre 2015 y marzo de 2018. Según ha revelado Wall Street Journal y Google ha hecho oficial. Al parecer, la compañía no reveló el problema porque no quería pasar por un escrutinio regulatorio.
La compañía del buscador no encontró evidencia de un mal uso de los datos. Datos a los que han podido acceder los desarrolladores mediante el uso de las APIs de la plataforma. Como parte de la respuesta al problema, Google va a cerrar de forma permanente la red social.
Project Strobe: la auditoría interna que ha encontrado la brecha de seguridad
Tal y como ha anunciado la compañía justo en el momento de hacerse público el informe de WSJ, han tomado una serie de medidas al respecto. A principios de este año decidieron evaluar desde cero cómo funcionan sus APIs y la estructura y permisos que tienen terceros en ellas. Es decir, una especie de auditoría interna para analizar la seguridad y privacidad de sus productos y servicios.
Es así como descubrieron el error en la API de Google+. Este error permitía a las apps de terceros tener acceso a los campos de perfil que se compartían con el usuario, pero que no estaban marcados como públicos. Estos datos son por ejemplo el nombre, la fecha de cumpleaños, el género, la imagen de perfil… La lista completa es bastante larga, pero no incluye ningún dato relativamente sensible, como podría ser el contenido de mensajes privados, el contenido de GSuite o cuentas bancarias.
Google cree que este error está presente después del lanzamiento de Google+, como consecuencia de un cambio en el código de la red social y la API. También dicen que no creen que ningún desarrollador tuviese constancia del error ni que los datos de los usuarios se hayan usado con malas intenciones. A pesar de eso, hay que tener en cuenta que también hay 438 aplicaciones que han hecho uso de esta API en alrededor de unas 500.000 cuentas.
Las cuatro medidas de Google para paliar el problema
A pesar de la relativa poca gravedad del asunto según Google, lo primero que van a hacer es cerrar la red social. Debido a la brecha de seguridad y a la poca adopción que ha tenido como red social, han decidido cerrarla en un periodo de diez meses. Durante estos próximos diez meses se ofrecerán herramientas de migración y exportación de datos para que los usuarios puedan salir de la plataforma.
Como segunda medida de seguridad, van a impulsar el uso de herramientas más granulares para ofrecer permisos a apps de terceros. Es decir, cuando una app de terceros en Android o en la web quiera tener acceso a la cuenta de Google, se le otorgará permisos más específicos y tan solo a determinadas áreas que el usuario escoja. De este modo se trata de conseguir que las apps no tengan acceso a toda la información del usuario cuando realmente sólo necesitan parte de ella.
Siguiendo con los permisos de uso, a partir de ahora el acceso a Gmail estará más restringido a determinadas apps. Es increíble que en pleno 2018 una app de cámara por ejemplo pudiese tener acceso a tus correos, pero efectivamente se ha podido. A partir de ahora Google asegura que tan sólo gestores de correo, gestores de almacenamiento en la nube y similares podrán acceder a los datos de Gmail del usuario.
Por último y en relación a los permisos relacionados con los contactos, Google también limitará qué tipo de apps pueden tener acceso a los contactos, al historial de llamadas o a los SMS por ejemplo. En los próximos meses aseguran que añadirán más controles y limitaciones a los permisos de la cuenta de usuario.
Una brecha no anunciada que se salva del GDPR por la campana
Tal y como ha indicado la compañía, esta brecha de seguridad en el servicio de Google+ fue descubierta en marzo de 2018. No decidieron hacerla pública porque consideraban que no exponía información relevante del usuario. Sin embargo, de haberse descubierto un poco más tarde, lo habrían hecho público en cuestión de horas. ¿Por qué? GDPR.
La ley de protección de datos en Europa entró en vigencia justamente el pasado mes de marzo. Una de las medidas que toma esta ley es obligar a las empresas a hacer público y advertir a sus usuarios si su información privada se ha visto comprometida. De no hacerlo en un plazo de 72 horas tras ser descubierto el problema, deben pagar una multa del 2% de sus ingreso mundiales. Google parece ser que se salvó por cuestión de días antes de que la ley entrase en vigencia.
