La filtración de fotos en la web y la lección de seguridad que nos deja

El día de ayer durante la tarde, internet estuvo muy ocupado y a punto de explotar. Resulta ser que un autoproclamado hacker obtuvo acceso a cientos de fotografías de famosas y las publicó en uno de los foros de internet más famosos y menos regulados: 4chan. De dichas imágenes destacan los nombres de Jennifer Lawrence, Mary E. Winstead, Victoria Justice, Kirsten Dunst, Kate Upton y un largo etcétera que aparece en forma de lista de las víctimas de su "ataque", mostrando más de 90 nombres de celebridades.

Sin embargo, no estamos aquí para hablar de las fotos, pero sí para dar un vistazo profundo al asunto en cuestión de seguridad, las posibles formas en que este tipo de documentos fue filtrado y las medidas para evitarlo.

Las teorías

A pesar de que el hacker aún no tienen nombre ni paradero, no se sabe a ciencia cierta de quién se trata, o si incluso se trata de un grupo y no sólo un individuo, pero hay varias teorías que pueden ayudarnos a comprender el problema.

iCloud y su posible hackeo

El hacker responsable comentó que las imágenes fueron adquiridas mediante un hackeo al almecenamiento en la nube de Apple, ante lo cual, la compañía se ha mantenido en silencio por muchas horas ante estas graves acusaciones.

Prueba de que esta pudo ser la fuente es que la gran mayoría de estas fotografías, es que fueron tomadas con iDevices, sin embargo, el responsable también proclamó tener videos en su poder, cosa que no es posible haber obtenido a través de iCloud debido a que Photostream no permite la sincronización de este tipo de archivos.

Sin embargo, no se puede descartar que cierto número de imágenes pudieron ser obtenidas de este servicio mediante un ataque de fuerza bruta. Las celebridades, y muchas veces, los usuarios en general, no se preocupan por tener una contraseña segura, lo que facilitaría el acceso a las cuentas, siendo la culpa del mismo usuario y no tanto del servicio.

Wi-Fi compartido

Otra de las teorías apunta a que este hackeo se realizó ya hace tiempo durante algún evento importante, como lo fue la entrega de los Emmys, ya sea vulnerando la conectividad del evento o creando un punto de conexión falso.

La vulnerabilidad aquí sería el poder intervenir dicha conexión y una persona actuar como intermediaron entre el dispositivo y la conexión, viendo y obteniendo todo lo que pase a través de la misma.

A pesar de que también es una posibilidad, tampoco todas las fotos fueron obtenidas por este medio, si acaso podríamos hablar de sólo cierto número, ya que todas las celebridades de las que se presume se tienen imágenes no asistieron al evento.

La deep web y el tráfico de imágenes

Mary E. Winstead comentó que sus fotos filtradas tenían años de haber sido tomadas y borradas, por lo cual, es demasiado extraño el haber obtenido esos documentos el día de ayer.

La posibilidad que aquí se maneja es que muchas de estas fotografías ya estaban en internet, pero no en la parte segura y conocida, sino en la Deep Web. Se dice que las imágenes tienen varios dueños, y que estos las intercambiaban por BitCoins en el mercado negro del internet. Así, si un hacker tenía 5 imágenes, las vendía por un precio pequeño, mientras que si otro tenía 30, la cantidad aumentaba.

Esto también es muy factible, dada la cantidad de imágenes que se han manejado y la increíble cantidad de personas afectadas, pero también si sólo un usuario se dedicaba a pagar y recolectarlas, eso sería demasiado dinero sólo para una colección privada, por lo cual, también puede haberse tratado de una cantidad pequeña de fotos la que se obtuvo por este medio.

Y entonces, ¿cómo nos protegemos?

Como hemos dicho anteriormente, no se puede crear un sistema invulnerable, sólo hacerlo lo más resistente que se pueda. En el caso de iCloud y la mayoría de páginas web (ya sean redes sociales o servicios de almacenamiento) ofrecen la opción casi desconocida de autentificación de dos pasos, un método para acceder a nuestras cuentas mediante la solicitud de la contraseña y un extra, ya sea que se trate de un pin, un código de verificación enviado a nuestro smartphone, una pregunta secreta, etc.

Hablando de las conexiones inalámbricas, debemos de estar seguros a qué red y de quién nos vamos a conectar, ya que si el dueño de una Wi-Fi tiene malas intenciones, puede estar monitoreando todo nuestro tráfico web sin el menor problema. En el caso del propio, siempre es recomendable que el tipo de protección sea WPA y no WEP, ya que esta última es muy fácil de vulnerar.

Además, no está de sobra recordar que siempre hay que intentar conectarnos a páginas importantes mediante HTTPS, ya que el viejo protocolo HTTP es muy inseguro y mucha información sensible se filtra, dejando el acceso a cuentas totalemente desprotegido para quien quiera tomarlo.

Finalmente, documentos sensibles o muy importantes para nosotros no deberían de estar en internet. Así se trate de fotos, documentos, o datos, si nosotros podemos acceder a ellos mediante internet, seguramente alguien más también podrá. Y si se trata de un almacenamiento físico, nunca está de más encriptarlo.