No Hackearon iCloud. Solo Adivinaron el Nombre de Tu Perro.

No Hackearon iCloud. Solo Adivinaron el Nombre de Tu Perro.

A finales de agosto de 2014, fotos privadas de decenas de actrices y modelos conocidas empezaron a aparecer en 4chan, luego en Reddit, luego en todas partes. Los titulares decían que iCloud había sido "hackeado". Apple investigó y emitió un comunicado más preciso —y más inquietante— que los titulares: las cuentas habían sido comprometidas mediante "un ataque muy dirigido contra nombres de usuario, contraseñas y preguntas de seguridad".

Léelo otra vez. No fue una brecha en el cifrado de Apple. No fue un fallo de la nube. Nombres de usuario, contraseñas y preguntas de seguridad.

Nadie forzó la cerradura. Simplemente le hicieron las preguntas correctas al portero, y él les entregó la llave.

La llave de repuesto bajo el felpudo

Toda cuenta online tiene dos puertas. La puerta principal —tu contraseña, quizá la autenticación en dos pasos, lo que piensas cuando piensas en "seguridad". Y luego está la puerta de servicio: la recuperación de cuenta. ¿Olvidaste tu contraseña? Responde unas preguntas. Revisa tu email alternativo. Recibe un SMS.

La puerta de servicio existe porque las empresas saben que la gente olvida contraseñas. Es una función de atención al cliente. Y es, estructuralmente, la parte más débil de todo el sistema —porque tiene que serlo. Un proceso de recuperación que un usuario legítimo puede completar en un mal día, desde un teléfono prestado, con la memoria borrosa, también lo puede completar un atacante con un poco de investigación.

Piensa en lo que realmente te preguntan las "preguntas de seguridad". El apellido de soltera de tu madre. El nombre de tu primera mascota. La calle donde creciste. El modelo de tu primer coche. Fueron diseñadas en una era en la que esos datos eran privados —cosas que solo tú y tu familia sabríais. Esa era terminó más o menos cuando llegó Facebook.

El apellido de soltera de tu madre está en sitios de genealogía. El nombre de tu primera mascota está en tus fotos de Instagram de 2016 ("¡Qué recuerdos con Pelusa!"). La calle donde creciste está en el grupo de WhatsApp de excompañeros del colegio. Tu primer coche sale en una foto que publicaste hace una década. Las respuestas a tus preguntas "secretas" están, para la mayoría de la gente, a treinta minutos de búsqueda. Para una famosa —alguien cuya biografía han documentado miles de desconocidos— más cerca de tres minutos.

Y en nuestra cultura, el problema es aún mayor: la familia hispana lo comparte todo en el grupo de WhatsApp familiar. Cumpleaños, nombres de mascotas, direcciones, anécdotas de la infancia —todo queda escrito, reenviado, guardado en decenas de teléfonos. Lo que no se dice en la familia... se dice en el grupo de la familia.

Lo que hicieron realmente los atacantes de 2014

Los informes públicos sobre el incidente de 2014 describen una operación paciente y poco glamurosa. Algunos atacantes enviaron correos de phishing disfrazados de alertas de seguridad de Apple y Google, dirigiendo a las víctimas a páginas de inicio de sesión falsas. Otros explotaron el hecho de que el servicio "Find My iPhone" de Apple, en aquel momento, no limitaba el número de intentos de contraseña —permitiendo a scripts automatizados probar miles de contraseñas comunes contra Apple IDs conocidos sin ser bloqueados.

Nada de esto requirió romper el cifrado. Nada requirió acceso interno. Solo requirió saber que la puerta principal tiene una puerta de servicio, y que la puerta de servicio la guardan preguntas cuyas respuestas son públicas.

La respuesta de Apple fue reveladora. No anunciaron un cifrado más fuerte —el cifrado estaba bien. Empezaron a notificar a los usuarios cuando se accedía a iCloud desde un dispositivo nuevo, e impulsaron la autenticación en dos factores. En otras palabras: intentaron que la puerta de servicio hiciera más ruido al abrirse, para que la oyeras.

Pero la puerta de servicio sigue ahí. Tiene que estar. Todo servicio en la nube que ofrece "olvidé mi contraseña" tiene una.

La paradoja de la recuperación

Esta es la paradoja que ningún proveedor de nube puede resolver: cuanto más fácil es recuperar una cuenta, más fácil es robarla. Son la misma propiedad. Un flujo de recuperación es, por definición, una forma de entrar sin la contraseña. Cada paso que lo hace más amable para ti —menos preguntas, restablecimiento más rápido, un servicio de atención al cliente servicial— lo hace más amable para alguien que finge ser tú.

Unamuno escribió sobre la intrahistoria —esa vida interior, silenciosa, que transcurre lejos de los titulares y que es donde realmente somos nosotros mismos. Lo llamativo de las preguntas de seguridad es que tratan esa intimidad como un método de autenticación, en una época en la que la intimidad ha sido exprimida hasta la última gota para convertirla en contenido. Las cosas que debían demostrar que eres tú son ahora las cosas que demuestran que cualquiera puede ser tú.

Esto no es un argumento contra la nube. Los servicios en la nube son herramientas extraordinarias, y para la mayoría de las cosas, la comodidad compensa. Pero conviene tener claros los términos del intercambio: todo lo que protege un enlace de "olvidé mi contraseña" está protegido por un proceso diseñado para dejar entrar a desconocidos, siempre que cuenten una historia convincente.

Lo que merece un lugar sin puerta de servicio

La mayor parte de tu vida digital puede tolerar este riesgo. Tu lista de series, tu historial de compras, tus chats de grupo —si alguien entrara, sería desagradable, no catastrófico.

Pero todo el mundo tiene una categoría de cosas para las que "desagradable" no es la palabra. Fotos familiares que no se pueden repetir. Diarios. El archivo del trabajo de una vida. Cosas irreemplazables y, en algunos casos, cosas que preferirías que nadie viera jamás. Para esas cosas, la pregunta no es si la puerta principal es fuerte. Es si existe una puerta de servicio.

La cerradura más fuerte no es una promesa mejor. Es la ausencia de puerta.

Un disco offline, cifrado por ti, guardado en una caja fuerte sin conexión a la red, no tiene enlace de "olvidé mi contraseña". No hay ningún agente de atención al cliente al que se pueda convencer para restablecer tu acceso. No hay ninguna pregunta de seguridad sobre el nombre de tu perro, porque no hay pantalla de inicio de sesión. La única forma de entrar es la contraseña que está en tu cabeza —y si esa se pierde, los datos se pierden también. Ese es el coste honesto del acuerdo, y conviene decirlo claramente.

Hemos aprendido que la gente no quiere realmente algo "inhackeable". Quiere dejar de hacer esa aritmética ansiosa —¿y si, y si, y si?— cada vez que lee sobre otra filtración. La tranquilidad que llega al saber que simplemente no existe ningún camino remoto hacia tus cosas más íntimas tiene un nombre. Nosotros lo llamamos, sencillamente, intimidad.