MEXICO, D.F., 7 de agosto.- Una vulneración a la seguridad de una cuenta de correo electrónico es la violación a los sistemas de protección al contenido y privacidad de los usuarios a través de esta plataforma, pues otorga accesos no autorizados de terceras personas a comunicaciones privadas.

El Economista publicó ayer martes que más de 2,500 cuentas de correo electrónico de Prodigy, servicio de correo electrónico propiedad de Telmex, fueron vulneradas. El contenido de las comunicaciones de los usuarios fueron expuestos al público debido a un agujero en el sistema de seguridad del proveedor del servicio.

Pero no es el primero. Un caso similar de vulneración de la seguridad en México, data de mayo del 2011, cuando el IFAI obligó a Sony a notificar a sus clientes en México si su base de datos personales fueron afectadas por la vulneración y robo de datos de más de 75 millones de usuarios en el mundo de la Red PlayStation Network (PSN) y Qriocity ocurrida en abril de ese año.

“Lo que sucedió con Sony fue que el IFAI exigió que lo notificara pero la empresa se vio muy inteligente y le dio puntos a los gamers y ya no pasó de más. No tengo noticia de que algún usuario haya acudido al IFAI”, recordó Cynthia Solís Arredondo, experta en derecho informático y protección de datos personales.

Recomendaciones de los expertos

Cynthia Solís Arredondo, socia fundadora del despacho Lex Informática Abogados sugiere que los usuarios reúnan evidencia digital sobre una posible vulneración a sus cuentas de correo, antes de realizar cualquier acción que modifique su cuenta.

Éstas pruebas pueden ser capturas de pantalla sobre actividad inusual producida desde esas cuentas como envíos de correos no reconocidos por el usuario; ingreso a otros correos electrónicos, plataformas de redes sociales no efectuadas; o intentos de uso de la información contenida en los correos electrónicos con fines delictivos.

“Lo que harías es acudir con un fedatario público para hacer una fe de las pruebas y los hechos de lo que se está exponiendo. En este caso tienes el navegador, a qué hora, qué día mi información fue comprometida”, explicó Solís Arredondo.

Una vez que se haya reunido la evidencia disponible, se recomienda seguir las medidas de seguridad para casos de hackeo e ingresos no autorizados a las cuentas.

La Comisión Federal de Comercio de Estados Unidos sugiere mantener actualizado los sistemas de seguridad como antivirus y firewalls del equipo y borrar cualquier software mal intencionado; cambiar contraseñas; dar aviso al proveedor del servicio en caso de que el control de la cuenta haya sido tomado por un tercero; revisar las configuraciones del correo para borrar cualquier información personal y de contacto en la firma personalizada y; avisar a los contactos sobre la posible vulneración.

La Subdirección de Seguridad de la Información de la Dirección General de Cómputo y Tecnologías de Información y Comunicación de la Universidad Nacional Autónoma de México recomienda reiniciar todas las contraseñas de los servicios relacionados con la cuenta –otros correos electrónicos, cuentas de servicios como redes sociales, tiendas en línea o servicios financieros–, respaldar frecuentemente toda la información contenida en el correo electrónico y evitar almacenar información sensible en este sistema de comunicación.

Luego del respaldo, se recomienda restaurar el servicio de correo electrónico mediante el borrado de todos los correos, contactos y configuraciones de respuestas automáticas.

Si se trata de cuentas de correo electrónico corporativas, José Perez, Investigador senior de F-Secure Labs, firma especializada en seguridad informática recomienda que el acceso se realice desde dispositivos localizados en lugares seguros, debidamente protegidos y con los sistemas de seguridad actualizados.

“Asimismo, empleo certificados digitales para firmar los correos electrónicos enviados y avisar a mis compañeros de ser especialmente cautos si reciben algún mensaje sin firma digital; advirtiendo así casos en los que mi cuenta de correo se esté utilizando, por ejemplo, para enviar correos fraudulentos a otras personas”, agregó.

Acudir ante las autoridades

Al haberse expuesto información delicada, los usuarios deben acudir al Instituto Federal de Acceso a la Información y Protección de Datos (IFAI) para interponer una denuncia por un mal manejo y tratamiento de los datos personales de los usuarios.

“El IFAI atrae a su competencia y puede multar a Telmex, determinar si el problema fue imputable al proveedor del servicio o a una causa mayor como un ataque externo, y posiblemente imponer una multa por los daños que se le puede estar ocasionando al usuario”, explicó.

La experta advirtió además que se debe notificar al Ministerio Público sobre la vulneración para que esté alerta sobre otro tipo de delitos que pudieran cometerse a raíz de una suplantación de identidad y robo de datos.

Una tercera instancia a quien el usuario debe dar aviso es a la Procuraduría Federal del Consumidor (PROFECO), ya sea mediante una acción colectiva o a título personal para iniciar un procedimiento de queja en contra de Telmex, dijo Daniel Gershenson, co-fundador de AlConsumidor, una asociación civil especializada en la defensa de los derechos de los consumidores.

“La acción colectiva requiere de al menos 30 afectados directamente que vayan a PROFECO, o a título personal. Lo que sucede es que todos los clientes afectados se harían acreedores de algún tipo de resarcimiento. Tenemos que empezar a recurrir a él para evitar este tipo de abusos”, agregó.

Telmex aún no ha comunicado públicamente la vulneración a la seguridad de su servicio de correo electrónico prodigy.net.mx, ni de otros dominios de su propiedad, como infinitummail.com, correoinfinitum.com, pese a que está obligada a informar a los usuarios sobre la vulneración, de acuerdo con la Ley Federal de Protección de Datos Personales en Posesión de Particulares.

“Las vulneraciones de seguridad ocurridas en cualquier fase del tratamiento (de la información) que afecten de forma significativa los derechos patrimoniales o morales de los titulares, serán informadas de forma inmediata por el responsable al titular, a fin de que este último pueda tomar las medidas correspondientes a la defensa de sus derechos”, suscribe el artículo 20. (Julio Sánchez Onofre/El Economista)