Han pasado casi cinco años y medio desde que la Comisión de Protección de datos de Irlanda (CPD) iniciara una investigación sobre Facebook, Inc., el conglomerado de empresas de redes sociales que ahora conocemos como Meta Platforms, Inc. El procedimiento tuvo lugar poco después de que se conociera que Facebook e Instagram habían almacenado millones de contraseñas de sus usuarios en texto plano, es decir, en un formato legible por empleados de la empresa. Ahora, el organismo encargado de garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD) ha dado a conocer su decisión final.

Multa de 91 millones de euros. Las compañías que operan en la Unión Europea deben prestar especial atención a la protección de la información personal de los usuarios. Cometer un error en este sentido puede costarles bastante caro. Un claro ejemplo de ello es lo que acaba de suceder con Meta, que ha recibido una multa de 91 millones de euros por infringir el RGPD con el mencionado problema de seguridad. La decisión, tomada el 26 de septiembre por los Comisionados de Protección de Datos, Dr. Des Hogan y Dale Sunderland, llega acompañada de una advertencia formal para evitar futuras infracciones de este tipo.

La polémica de la notificación. El RGPD no solo obliga a las compañías a tratar adecuadamente los datos de sus usuarios, sino que también requiere que los reguladores sean notificados en caso de un problema de seguridad o una brecha. Así lo establece el artículo 33, que señala que la notificación debe producirse “sin demora”. Meta notificó a la CPD del incidente en marzo de 2019 y también puso en marcha un esquema para informar a los usuarios afectados. La CPD, sin embargo, señala Meta no cumplió debidamente con esta obligación. Conoceremos todos los detalles cuando se publique el informe completo más adelante.

Por lo pronto, sabemos que la multa y la sanción responden a que la compañía liderada por Mark Zuckerberg no notificó debidamente el incidente, tampoco documentó correctamente lo sucedido, no utilizó las medidas de seguridad adecuadas para proteger a las contraseñas contra el “tratamiento no autorizado” y no implemento medidas adecuadas para “garantizar un nivel de seguridad adecuado al riesgo”. El comisionado Graham Doyle dijo que “es bien sabido que no se deben almacenar las contraseñas de los usuarios en texto sin cifrar, ya que esto conlleva riesgos de que alguien acceda y haga un mal uso de esa información”.

Las contraseñas no salieron de Meta. Tanto la CPD como Meta coinciden en un punto muy importante: las contraseñas no tuvieron una exposición a terceros. Es decir, si bien se almacenaron en texto plano durante un período determinado de tiempo, nadie fuera de la compañía puso acceder a ellas. Tampoco se ha encontrado evidencia de que las contraseñas hayan sido utilizadas de manera inapropiada. El problema, según la compañía, fue solucionado rápidamente. Además, impulsaron una serie de medidas de seguridad adicionales para reducir el uso de contraseñas por parte de los usuarios.

Por qué la Comisión de Protección de datos de Irlanda. El Comité Europeo de Protección de Datos (CEPD) está compuesto por una veintena de miembros como la Agencia Española de Protección de Datos (AEPD). Sin embargo, las acciones de la CPD son relevantes por varios motivos. En primer lugar, la sede europea de Meta, Meta Platforms Technologies Ireland Limited, se encuentra en Irlanda. En segundo lugar, la CPD trabaja en conjunto con sus pares con el objetivo de garantizar el cumplimiento del RGPD de manera general. Hace un año, por ejemplo, la CPD multó a TikTok con 45 millones de euros.

Imágenes | Meta (1, 2) | Christian Lue

En Xataka | La CNMC multa a Booking con 413 millones de euros: la mayor sanción de la historia de España por abuso de posición de dominio

Se suponía que Recall sería una de las características estrella de los nuevos PC Copilot+ anunciados en mayo. La propuesta era más que interesante. Esta “memoria fotográfica” impulsada por inteligencia artificial (IA) tomaría instantáneas periódicas de nuestra pantalla con el objetivo de que pudiéramos recuperar cierta información que no apuntamos de manera sencilla. Por ejemplo, ese restaurante que nos recomendó un amigo tiempo atrás.

El problema es que Recall también era una auténtica pesadilla de seguridad. Las críticas se multiplicaron por todas partes, principalmente por especialistas en la materia. Este escenario llevó a la compañía de Redmond adoptó una postura de “mejor prevenir que curar”. Como señalábamos en un artículo anterior, el lanzamiento de la característica fue demorado. ¿La razón? Precisamente, abordar aquello que estaba empañando su lanzamiento.

Recall se actualiza con la mirada puesta en la seguridad

Uno de los cambios más importantes es que Recall será opcional desde el principio. Esto quiere decir que los usuarios tendremos que activarla conscientemente antes de empezar a utilizarla. No se tratará de una característica predeterminada. Por otra parte, Windows 11 permitirá quitar completamente Recall de nuestra máquina. Esto último, aparentemente, es un cambio reciente. Recordemos que Microsoft había descartado la opción de desinstalación.

La compañía de Redmond también ha abordado un problema que podía permitir que actores malintencionados se hicieran con datos sensibles del usuario. Esto se debía a que las instantáneas no estaban debidamente protegidas, por lo que quedaban expuestas. Recall ahora se apoya en el Módulo de Plataforma Segura (TPM), uno de los requisitos indispensables de Windows 11, para fortalecer el cifrado y ofrecer mayor seguridad.

Técnicamente, la única forma de recuperar estos datos es pasar por Windows Hello, la plataforma de autenticación de Windows 11 que puede ser utilizada con datos biométricos. “Hay una capa de aplicación de interfaz de usuario que no tiene acceso a capturas de pantalla sin procesar ni a la base de datos de Recall”, dijo David Weston, VP de seguridad empresarial y de sistemas operativos de Microsoft, en comentarios a The Verge.

Los cambios también alcanzan el tipo de información que Recall puede almacenar. Esta característica tendrá ajustes que permitirán excluir determinados tipos de contenidos, como datos de tarjetas de crédito, contraseñas y más. Microsoft tiene una página dedicada con más datos sobre lo que consideran información confidencial. La compañía también agregará la capacidad de eliminar un rango de la base de datos de Recall.

Todavía no hay un marco de lanzamiento claro. Microsoft ha dicho que Recall estará disponible para Windows Insiders, el programa que brinda acceso a versiones preliminares de Windows, en octubre. Más tarde se producirá el lanzamiento generalizado. Cabe señalar que, en todos los casos, los únicos que podrán utilizar esta herramienta serán quienes posean equipos PC Copilot+, es decir, con Windows 11 y más de 45 TOPS de rendimiento.

Imágenes | Microsoft

En Xataka | Kaspersky les ha instalado un nuevo antivirus a sus usuarios. Lo ha hecho por sorpresa y sin apenas avisos

En Xataka | Microsoft nos dijo que Recall solo funcionaría en los nuevos PC Copilot+. Alguien acaba de activarlo en un ordenador común

EFE.– La becaria mexicana del musical “Malinche” que denunció al compositor español Nacho Cano y dio pie a una investigación judicial por presuntos delitos contra los derechos de los extranjeros y de los trabajadores, declarará el próximo 4 de octubre ante la magistrada que lleva el caso por primera vez.

Según han confirmado a EFE fuentes jurídicas, la juez ha citado a la estudiante mexicana, Lesly Guadalupe O.F., para que declare como denunciante, en la primera comparecencia relevante en la causa.

Hasta ahora no habían sido llamados a declarar en el juzgado ni la denunciante, ni los tres investigados, ni los becarios del musical implicados en este procedimiento penal, abierto el pasado 30 de julio.

Estos 17 estudiantes mexicanos becados fueron llamados a declarar como testigos urgentemente a finales de agosto, pero finalmente no lo hicieron porque no se consiguió citar a una de las investigadas, Roxana Drexel, directora de operaciones de “Malinche”, lo que impedía que pueda garantizarse la posibilidad de contradicción entre las partes, como establece la ley.

Así, el 1 de septiembre estos becarios regresaron a México, y queda pendiente si serán citados para declarar por videocoferencia.

El pasado 30 de julio, un juzgado de Madrid abrió un proceso penal contra el productor musical Nacho Cano –exintegrante del grupo Mecano– y tres personas más por la supuesta contratación ilegal de inmigrantes mexicanos para su obra de teatro “Malinche”, a raíz de la denuncia de la estudiante mexicana.

Las fuentes también han confirmado que, en un auto dictado recientemente, la magistrada rechazó admitir en la causa los mensajes que aportó la defensa del artista para probar un posible chantaje por parte de Lesly, al considerar una prueba “irrelevante”.

En el auto, al que ha tenido acceso EFE, la juez no admite una serie de mensajes de WhatsApp que la becaria envió a una de las integrantes del equipo de “Malinche”, investigada en la causa, en los que avisa de que podía demandarles y para evitarlo solicita seis mil euros y una carta de recomendación. Luego acabó denunciándoles.

Tras conocer esta decisión, la abogada de la denunciante, Beatriz Uriarte, dijo a EFE que “como se había previsto por parte de la víctima, las conversaciones mantenidas entre Lesly y la organización liderada por Nacho Cano no tienen ningún tipo de relevancia jurídica, más allá de que la joven expresó su malestar por las condiciones en las que se la trajo a Madrid y en las que se pretendía que volviera a su país”.