Un portal de visados britanico expuso pasaportes y selfies de miles de solicitantes, y la filtracion sigue sin corregirse
Segun TechCrunch, un sitio web de terceros usado en el proceso de solicitud de visado britanico expuso en linea documentos sensibles, incluidos los pasaportes y las fotos selfie de miles de solicitantes.
Mas llamativo aun, segun TechCrunch, es que en vez de corregir el problema la empresa respondio al medio que lo revelo por medio de abogados. Eso resalta como una actitud en contradiccion directa con la expectativa de que un fallo de seguridad se gestione de forma responsable.
Las solicitudes de visado contienen algunos de los datos personales mas sensibles de una persona: documentos de identidad, fotografias biometricas e informacion de direccion, entre otros. La exposicion de esos datos abre la puerta a riesgos como el robo de identidad y el fraude.
Los procesos de este tipo, en los que intervienen proveedores de servicios externos, anaden una capa adicional de complejidad para la seguridad de los datos. Cuando un proceso de servicio publico se entrega a una empresa externa, como se reparte la responsabilidad de proteger los datos se vuelve una cuestion critica.
En las filtraciones de datos, el enfoque conocido como 'divulgacion responsable' establece que los investigadores de seguridad o los periodistas informen de los fallos que detectan a las organizaciones correspondientes, y que esas organizaciones los corrijan. El buen funcionamiento de ese proceso importa para la proteccion de los usuarios.
Segun el relato de TechCrunch, el hecho de que en este caso la filtracion siguiera sin corregirse en el momento de la publicacion significa que los datos de las personas afectadas siguen en riesgo. Situaciones asi subrayan la importancia de una respuesta rapida.
Las regulaciones de proteccion de datos fijan en muchos paises ciertos estandares para el tratamiento y la conservacion de los datos personales. En muchas jurisdicciones, incluido el Reino Unido, notificar las brechas de datos e informar a las personas afectadas esta establecido como una obligacion legal.
Este incidente vuelve a mostrar lo critica que es la seguridad de la infraestructura digital usada en los servicios publicos. Los procesos que implican grandes volumenes de datos sensibles, como los sistemas de inmigracion y visados, exigen una arquitectura de seguridad especialmente cuidadosa.
Para los usuarios, la fiabilidad de las plataformas en las que se comparten documentos personales a menudo no puede evaluarse directamente, porque esos procesos pueden ser parte de requisitos oficiales obligatorios. Eso deja la responsabilidad en los proveedores de servicios y los reguladores.
Al final, el caso destapado por TechCrunch pone en la agenda importantes preguntas sobre la seguridad de los servicios de terceros, la cultura de la divulgacion responsable y las obligaciones de proteccion de datos. (Esto es una noticia de tecnologia; no es asesoramiento de ciberseguridad.)