Qué ocurre cuando se filtran datos íntimos

La mayoría de las filtraciones de datos son una molestia. Cambias una contraseña, vigilas una tarjeta durante unos meses y, en un año, deja de importar.

Las filtraciones que implican datos íntimos funcionan de forma distinta, y la diferencia no radica en el volumen o la gravedad habituales. Se trata de lo que no se puede deshacer.

Por qué es una categoría distinta

Una contraseña se puede cambiar. Una tarjeta se puede volver a emitir. Lo que alguien le escribió a su pareja no se puede revocar, como tampoco el hecho de que esa persona tuviera una cuenta en algún sitio.

La mera existencia suele ser todo el botín. En varias filtraciones bien documentadas de servicios de uso privado, las direcciones de correo electrónico bastaron para causar un daño grave, antes de que nadie leyera un solo mensaje. Ashley Madison en 2015 es el ejemplo canónico, y las consecuencias para las personas fueron graves y, en algunos casos, irreversibles.

La segunda propiedad es la permanencia. Los conjuntos de datos filtrados no se borran. Circulan, se indexan, se combinan con otros datos y reaparecen años después.

Puedes cambiar cada una de tus credenciales. No puedes cambiar el hecho de que exista un registro.

El problema de la combinación

Una filtración individual suele parecer inofensiva. Una dirección de correo y una marca de tiempo.

El riesgo surge de la combinación. Una dirección de una filtración, más un número de teléfono de otra, más un historial de ubicación de una tercera generan un perfil que ninguna de las tres contenía.

Por eso, «solo eran direcciones de correo» es una tranquilidad menor de lo que parece, y por eso la minimización de datos importa más que la respuesta ante una filtración.

Qué reduce realmente el riesgo

Solo una cosa de forma significativa: que los datos no existan en formato legible desde el principio.

Todo lo demás es mitigación. Las buenas prácticas de seguridad reducen la probabilidad de una filtración, pero no cambian lo que esa filtración expone. Los límites de retención reducen la cantidad expuesta. El cifrado en el que el operador tiene la clave protege contra cierto tipo de ataques, pero no contra un atacante que accede al sistema en ejecución.

El cifrado de extremo a extremo es el único esquema donde una vulneración total de los servidores no expone el contenido, porque el contenido no está allí de forma legible para ser expuesto.

No protege los metadatos. Un atacante sabría aun así que existían dos cuentas, que estaban vinculadas y que estuvieron activas en días concretos. Esa es una exposición real, aunque mucho menor.

Preguntas que vale la pena hacer a cualquier servicio íntimo

¿Qué podría leer un atacante que vulnerase por completo vuestros servidores?

¿Cuánto tiempo conserváis los datos tras eliminar una cuenta?

¿Qué terceros reciben alguna parte de esa información?

¿Existe un contacto de seguridad público y un historial de respuesta a informes?

La primera pregunta es la que diferencia las arquitecturas. Todo lo demás es práctica, y la práctica cambia con la dirección.

Cuál es la posición de Duoheart

El contenido (preguntas, respuestas, mensajes y llamadas) se cifra en los dispositivos con una clave generada allí que nunca se nos envía. Una vulneración completa de nuestra infraestructura no lo expondría, porque no lo conservamos en formato legible.

Expondría la existencia de las cuentas, la vinculación entre ellas y la información de suscripción y actividad. No vamos a decir que eso sea nada.

También recopilamos menos de lo que podríamos, lo cual es la medida de privacidad menos vistosa y una de las más eficaces. Los datos que nunca se recopilaron no se pueden filtrar.

Qué hacer como usuario

Utiliza una dirección que no sea la principal para este tipo de servicios. Elimina las cuentas que no uses, de forma correcta en lugar de solo desinstalar la aplicación. Y asume, para cualquier cosa que introduzcas en cualquier servicio, que podría existir una copia en algún lugar dentro de diez años, porque en la mayoría de los servicios eso es sencillamente así.