Sin control, el robo de datos personales en México con #FinFisher

• 45 millones de mexicanos han sufrido atentados de esta índole, advierten
• Pharming, spam o phishing, nuevas formas de delitos informáticos

El Ifai ha fracasado en su función de hacer cumplir la Ley Federal de Protección de Datos Personales en Posesión de Particulares, advierte el investigador Julio Alejandro Téllez

Karina Avilés / La Jornada


En México, 14.8 millones de personas han sido víctimas de algún delito informático; el gobierno y las empresas privadas padecen un total descontrol de las referencias patrimoniales, médicas o domiciliarias de sus ciudadanos y, frente a ello, el Instituto Federal de Acceso a la Información y Protección de Datos (Ifai) –a decir de expertos– no está haciendo nada para evitar los abusos con la información privada.

Para los especialistas, la situación que atraviesa el país en este tema es grave: 45 millones de mexicanos han sufrido atentados contra sus datos personales por medios electrónicos, pues a todos los internautas les llegan correos de spam, esto es, información personal que se usa sin consentimiento del afectado para venderle algo que no quiere.

Julio Alejandro Téllez Valdés, investigador del Instituto de Investigaciones Jurídicas de la Universidad Nacional Autónoma de México (UNAM) y uno de los pioneros del derecho informático en el país, afirma que es vergonzoso que no exista ni la legislación adecuada en la materia, ni las autoridades idóneas, ni un buen funcionamiento de la policía para frenar la transgresión a los datos personales de la ciudadanía.

Así, alerta que los mexicanos están cada día más expuestos a ser víctimas de una gran cantidad de ilícitos por parte de las empresas, de los particulares, de las dependencias de la administración pública y hasta de los gobiernos extranjeros.

De acuerdo con el Reporte Cibercrimen 2012 de Norton Symantec, uno de los estudios más importantes a escala mundial sobre los delitos informáticos, casi 15 millones de mexicanos fueron víctimas de algún ilícito de este tipo, lo que les generó un quebranto financiero directo por un monto de 2 mil 200 millones de dólares.

La vulneración de los datos personales puede ocurrir por múltiples vías: acceso indebido a cuentas bancarias, a los datos de las redes sociales, de los correos electrónicos, los envíos de spam, la intromisión a los servicios de chat y de mensajería, las falsas ofertas, las compras por la vía electrónica o telefónica y los ataques cibernéticos como el phishing o el pharming (aquellos donde los delincuentes buscan obtener datos privados a partir de un engaño). Todo ello puede derivar en delitos como la usurpación de la identidad, el secuestro, el robo, la extorsión, la pornografía infantil, el abuso de confianza, el lavado de dinero, la venta de drogas y el fraude.

El 7 de mayo de este año, Jesús Robles, defensor de derechos humanos de Propuesta Cívica, se dio cuenta de que las amenazas que recibió eran diferentes a las otras: en esta ocasión, refiere, tenían mi información delicada. Los presuntos delincuentes no sólo sabían su domicilio, sino que en un acto aterrador leyeron tal cual los textos de las comunicaciones que ese día, muy temprano, mantuvo con su familia por WhatsApp.

El activista narra que los agresores llamaron por teléfono no sólo a la casa de sus padres, sino también a la oficina de su papá. “Les dijeron que yo les escribí a tales horas para informarles que no podría pasar por ellos al aeropuerto por motivos de trabajo. Y les dijeron que ellos me respondieron a tal hora tal cosa, por lo que ‘queremos informarles que tenemos toda la información de los movimientos de su hijo’”.

Robles está convencido de que esta violación a su información digital es parte de la utilización en México del programa de cómputo Finfisher –situación por la que Propuesta Cívica demandó una verificación al Ifai–, el cual se vende como un software de vigilancia que permite acceder a las contraseñas, al directorio, a los correos, así como encender el celular, la cámara digital, el micrófono de la laptop y es capaz de tomar capturas de la pantalla de la computadora. Es decir, ve lo que tú ves, y donde está tu celular, están los intrusos.

Expresa que aunque los atacantes quisieron hacer pasar el hecho como una extorsión ordinaria, él considera que la agresión está vinculada a dos casos que él lleva de víctimas de violaciones de derechos humanos y lo que buscaban era que yo supiera que estaban dentro de mi información digital. Y advierte: Este tipo de programas se están usando de forma masiva. Están haciendo un espionaje a gran escala en México, lo digo sin ninguna duda. Lo más grave sería que ese software cayera en manos del crimen organizado, porque puede ser clonado.

El director de la empresa de seguridad informática SM4RT Corporation, Víctor Chapela, recuerda que los datos personales de los mexicanos que se venden en el mercado negro vienen tanto de la iniciativa privada como de las entidades gubernamentales a las que se los hemos confiado. Sin embargo, las empresas no los protegen porque no significa un riesgo a la compañía, sino a la persona y, por el lado del gobierno, la ley en la materia sólo rige a los particulares; por tanto, no castiga a las dependencias públicas si tienen, por ejemplo, una fuga de sus bases de datos.

La consecuencia más importante de este descontrol que existe en el gobierno y en la iniciativa privada para la protección de la información personal consiste, en su opinión, en que el ciudadano se siente totalmente impotente ante las autoridades, ante las grandes empresas y ante los poderes fácticos de este país.

Además, en la sociedad mexicana existe un total desconocimiento del tema y no hay una cultura para garantizar la privacidad y el derecho a la autodeterminación informativa de las personas; las empresas reguladas por la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPP) no saben siquiera lo mínimo para proteger nuestra información personal, indica.

El estudio Protección de datos personales entre usuarios y empresas, de la Asociación Mexicana de Internet (Amipci) revela que 28 por ciento de las compañías evaluadas no pudieron definir siquiera lo que es un dato personal, como son el nombre, la edad o la dirección. Esto, aunque 90 por ciento de las firmas almacenan datos de identificación.

El 44 por ciento de las compañías admitieron que no tienen el conocimiento requerido sobre la LFPDPP; 32 por ciento confesaron que no saben qué medidas realizar para cumplir con dicha norma, y 74 por ciento expresaron que no se ha difundido apropiadamente el impacto de la ley, entre otras razones, porque hace falta más difusión, no existe información y el Ifai no ejerce su autoridad.

Es que hemos sido lentos como autoridad, admite el secretario de Protección de Datos Personales del Ifai, Alfonso Oñate. A tres años de la publicación de dicha normatividad, se pregunta: “¿Por dónde empezamos? ¿Nos vamos a dedicar a andar calle por calle, esquina por esquina, a ver si la tienda que reparte pizzas o el videocentro tiene aviso de privacidad, si tiene las medidas de seguridad respecto a los datos que conserva?

¿Vamos a ir a los sitios de taxis para ver cómo guardan la información de sus clientes? Es una labor que no sabemos ni por dónde empezar ni cuál es la repercusión que puede tener, ni tenemos los elementos suficientes para hacerlo.

El Ifai, dice por su parte el investigador Julio Alejandro Téllez Valdés, ha fracasado totalmente en su función de proteger los datos personales, ya que ni ha querido ni ha sabido hacer cumplir la LFPDPP.

Pero además, dicha normatividad tiene elementos aberrantes, pues es muy permisiva, lo cual ha provocado que las empresas sigan pitorreándose y haciendo lo que quieren con nuestra información, acusa.

Por otro lado, añade Téllez Valdés, la LFPDPP sólo contempla los archivos privados y no los públicos. Deliberadamente se ha omitido legislar sobre lo público porque en México se ha privilegiado la seguridad nacional sobre la privacidad de las personas para ejercer control.

El problema, considera Víctor Chapela, es proteger los datos personales antes de que se los roben. Lo anterior tampoco está establecido en la ley porque no señala cómo hacerlo. Pero el Ifai tiene la obligación de promover el uso de la norma porque hoy no está haciendo nada, considera.

Fuente