Filtración de datos de pruebas de Covid: 1,3 millones de registros de pacientes expuestos en línea
Un laboratorio neerlandés de pruebas de COVID dejó expuesta en línea una base de datos con 1,3 millones de registros de pacientes, reavivando las preocupaciones sobre lo a la ligera que las organizaciones tratan datos médicos y de identidad altamente sensibles. Los comentaristas apuntan a un patrón más amplio de seguridad débil en sistemas improvisados durante la pandemia, diseño laxo de API y exigencias generalizadas de escaneos de identificación y datos KYC por parte de bancos, telecomunicaciones y grandes plataformas tecnológicas. Muchos sostienen que solo una legislación más fuerte, deberes claros de estilo fiduciario para los “proveedores de datos personales” y sanciones reales o responsabilidad personal por el mal manejo de datos cambiarán de forma significativa los incentivos y reducirán futuras filtraciones.
Principales preocupaciones sobre la seguridad de los datos y la responsabilidad
- Muchos ven las filtraciones recurrentes, los abusos en la facturación y un mal proceso de salida como razones para preferir herramientas centralizadas de inicio de sesión/pago; otros advierten que las brechas en el SSO (Okta, etc.) crean puntos únicos de fallo.
- Se hace una comparación con la banca: los bancos aceptan responsabilidad fiduciaria y tienen seguro, mientras que las plataformas tecnológicas a menudo declinan responsabilidad y quizá ni siquiera revelen las filtraciones.
- Algunos sostienen que el robo de identidad debería tratarse como un problema del banco (por emitir crédito), no principalmente de la víctima.
Compromisos entre pago, identidad y comodidad
- Varios prefieren números de tarjeta virtuales o por comerciante (a través de bancos o terceros), junto con correos electrónicos únicos, para limitar el daño y cancelar cargos no deseados fácilmente.
- Algunos prefieren gestores de contraseñas y contraseñas generadas aleatoriamente como un mejor equilibrio entre comodidad y superficie de ataque que el SSO, aunque los restablecimientos de contraseña pueden resultar incómodos.
Identificaciones gubernamentales, KYC y sobrecolección de datos
- Hay una fuerte incomodidad ante la exigencia de subir carnés de conducir o pasaportes a telecomunicaciones, mercados en línea y redes sociales; algunos se niegan y pierden acceso a los servicios.
- Las normas de Conozca a su Cliente (KYC) y los flujos de banca móvil han normalizado fotografiar identificaciones, que luego se almacenan y más tarde se filtran.
- Se cita como advertencia un hackeo inmobiliario que expuso documentos KYC; los intentos de remediación a veces exigen volver a enviar la identificación.
- Algunos argumentan que copiar identificaciones no es ni necesario ni suficiente para verificar la identidad; la ley de al menos un país es criticada por fomentar el almacenamiento de una cantidad excesiva de datos sensibles.
Naturaleza de esta “brecha” y recortes impulsados por la pandemia
- Algunos señalan que la base de datos quedó accesible públicamente sin contraseña y argumentan que la palabra “brecha” es engañosa; otros dicen que el acceso no autorizado sigue siendo ilegal y constituye una brecha, aunque la seguridad haya sido negligente.
- A los comentaristas no les sorprende, y dicen que los sistemas de COVID se construyeron bajo una presión de tiempo extrema con prácticas de seguridad laxas.
Qué hacer ahora y propuestas de política
- Las personas sienten que hay poco recurso accionable después de filtraciones como esta.
- Algunos abogan por una legislación sólida que haga legalmente arriesgado y costoso recopilar y almacenar datos personales, con reglas claras para la destrucción de datos y responsabilidad similar a las “garantías personales” financieras.
- Se menciona brevemente la protección de datos al estilo de la UE como un modelo parcial, pero los detalles siguen sin estar claros en el hilo.