Los problemas de Yahoo! se agravan. La compañía, en pleno proceso de compra por parte de Verizon, desveló este miércoles una gravísima brecha de seguridad, la mayor de la historia, que ha afectado a más de 1,000 millones de cuentas de correo electrónico de sus usuarios. Aunque la multinacional indicó que el robo de datos tuvo lugar en agosto de 2013, pese a que lo descubren ahora, la noticia supone un duro revés para su reputación, pues el pasado septiembre ya se vio obligada a desvelar que había sufrido otro asalto informático (en esa ocasión ocurrido en 2014) en el que le fueron robados datos de más de 500 millones de cuentas.
Las reacciones no se hicieron esperar. Las acciones del gigante tecnológico cayeron ayer un 6,1% y la Agencia Española de Protección de Datos (AEPD) anunció que ha abierto una investigación sobre el nuevo caso. Su presidenta, Mar España, incluso dejó abierta la puerta a futuras sanciones desde el regulador europeo sobre la multinacional estadounidense en el caso de que determine que no ha informado a los usuarios de la brecha de seguridad. La responsable de la AEPD añadió que trasladarán sus pesquisas al Grupo Europeo de Protección de Datos con el objetivo de coordinar las acciones de los distintos Estados miembros. El organismo añadió que Yahoo! aún no ha informado de cuantas cuentas españolas se han visto afectadas.
Por su parte, Legalitas envió ayer una nota en la que aclaraba que, desde un punto de vista legal, la responsabilidad no recaerá sobre Yahoo! si esta acredita su correcta actuación en la custodia de datos de carácter personal. “Sí lo será en caso contrario, y en ese supuesto podría ser sancionada” por la citada agencia. “Lo que nunca pediría este organismo es una indemnización para los usuarios;serían estos los que tendrían que acudir a los tribunales de justicia para reclamar una indemnización por daños y perjuicios”.
Situación vulnerable
Una fuente próxima a Yahoo!, y que prefiere mantenerse en el anonimato, explica a CincoDías que estos hackeos sucedieron pocos meses después de que Marissa Mayer, la actual consejera delegada de la compañía, entrase en la corporación. “Durante muchos años Yahoo! dejó de ser una empresa de tecnología para ser una compañía de media. Por ello, muchos buenos ingenieros se marcharon antes de 2012 y dejaron Yahoo! en una situación vulnerable contra posibles ataques de este tipo”. “Cuando no estás preparado técnicamente, estas cosas pueden no llegar ni a saberse hasta que no ves las consecuencias. Muchas veces se sabe que ha pasado algo, pero no su magnitud. Hubo un tiempo en que había ataques frecuentes de mayor o menor medida. Hubo que rehacer la acreditación entera y se tardó un par de años”, dice.
La misma fuente aclara, no obstante, que desde 2014 Yahoo! ha invertido muchísimo en seguridad. “Sería muy difícil que esto pasase hoy, pues está a la altura del resto de proveedores. El problema se ha solucionado y fue consecuencia de la desinversión en tecnología que hizo entre 2008 y 2012”.
Sobre lo que no tiene dudas es en que la nueva brecha de seguridad conocida afectará a la venta de la compañía. “No tanto porque pueda volver a pasar sino por las posibles responsabilidades legales que esos hechos del pasado puedan tener. Es algo que debería haberse sabido en el proceso de venta. Sin duda, afectará al precio”, señala. Verizon acordó la compra de los negocios de internet de Yahoo! por 4,830 millones de dólares.
La compañía de telecomunicaciones está negociando con el gigante de internet los términos de la operación. Quieren que el precio de compra refleje el impacto económico que puedan tener las brechas de seguridad; sino, amenazan con acudir a los tribunales, según fuentes consultadas por Reuters.
Para el analista español Jaime García Cantero, aunque los ciberataques están a la orden del día, el tamaño de este cuestiona si la tecnología de Yahoo! está en la supuesta vanguardia que se presupone a un gigante de internet. “Y si esta no es tal, ¿qué está comprando Verizon?”, se pregunta. Para este experto, si la compra de Yahoo! no se culminara “el futuro de esta sería muy complicado, pues no parece capaz de hacer las enormes inversiones en ingeniería y tecnología que una firma de esa naturaleza precisa, y esto tiene impacto no solo en la seguridad sino en la evolución de sus servicios”.
Alemania anima a usar otros servicios de correo
La Oficina Federal para Seguridad de la Información de Alemania (BSI, en sus siglas en alemán), criticó ayer a Yahoo! por no tener un adecuado sistema de encriptación y animó a los usuarios alemanes a pasarse a otros servicios de correo tras conocerse el robo masivo de datos de clientes de Yahoo!. “Teniendo en cuenta la repetición en los casos de ataques, los consumidores tendrán que prestar más atención a la hora de elegir qué servicios querrán utilizar”, apuntó el organismo en un comunicado.
En EU, el senador Mark Warner aseguró que presionará a la empresa para saber cómo pudo permitir que se comprometiera la seguridad de 1,000 millones de usuarios. Añadió que ha preguntado en numerosas ocasiones por el anterior ataque, en 2014, sin haber recibido respuesta y criticó que “los usuarios no pueden enterarse de estos ataques tres años después”.
Respecto a que Yahoo! haya tardado tanto tiempo en alertar del robo de datos, el analista española Jaime García Cantero señala que puede haber tres explicaciones: O la brecha se ha detectado en una auditoria (lo cual indicaría que la compañía lleva todo este tipo sin hacer ninguna), o bien el ataque ha sido prolongado en el tiempo (algo muy habitual hoy en día). También existe la posibilidad de que lo que se ha retrasado haya sido la comunicación del robo. «En cualquiera de los tres casos, una mala señal del estado del equipo de ciberseguridad de la compañía. Algo grave si se tiene en cuenta la constante necesidad de inversión que hoy en día precisa la seguridad, inversión que a lo mejor Yahoo! no ha sido capaz de hacer en los últimos años».
Para Jonathan Care, director de Investigación de Gartner, es preocupante que Yahoo! haya necesitado tanto tiempo para hacer pública la brecha de seguridad, teniendo en cuenta las leyes sobre notificación de este tipo de sucesos en EU y otros países. Para este experto, la multinacional estadounidense, al igual que otras empresas de internet, están utilizando sistemas de autenticación que están quedándose obsoletos. Además, critica que Yahoo! «se ha centrado sobre todo en desarrollar tecnologías de protección y no ha puesto énfasis en sistemas de análisis, detección y respuesta».