El gobernador de Missouri, Mike Parson, enfrenta críticas de tecnólogos y periodistas después de que emitió un declaración mordaz y tecnológicamente inexacta que amenaza con arrestar un reportero por descubrir que los números de seguro social de los maestros, administradores y consejeros escolares en Missouri eran vulnerables a la exposición pública debido a fallas en un sitio web mantenido por el Departamento de Educación Primaria y Secundaria del estado.
El reportero de St. Louis Post-Dispatch, Josh Renaud, escribió una historia el jueves indicando que el periódico descubrió problemas con una aplicación web que permitía a cualquier persona buscar en una base de datos de certificaciones y credenciales pertenecientes a más de 100,000 maestros del estado. Los datos de pago y los números de seguridad social también eran vulnerables debido al problema.
El periódico se puso en contacto con el departamento y se retiraron las páginas. Todo esto se hizo antes de que se publicara la historia para darle tiempo al estado de rectificar la vulnerabilidad. El periódico también retrasó la publicación de la historia para permitir que otras agencias estatales solucionen vulnerabilidades similares en otras aplicaciones web.
Los funcionarios estatales dijeron que estaban investigando cuánto tiempo estuvieron expuestos los datos. Pero más tarde ese mismo día, Parson realizó una conferencia de prensa en la que criticó a Renaud y al periódico, y amenazó con emprender acciones legales por su decisión de notificar al estado sobre el tema.
Luego redobló las amenazas en un hilo de twitter eso provocó el ridículo generalizado y la indignación de los expertos en tecnología que cuestionaron si el gobernador y su equipo realmente entendían lo que estaban discutiendo.
Parson afirmó que «una persona tomó los registros de al menos tres educadores, decodificó el código fuente HTML y vio el SSN de esos educadores específicos».
Dijo que su oficina notificó al fiscal del condado de Cole y a la Unidad Forense Digital de la Patrulla de Carreteras y les ordenó que investigaran lo sucedido.
«Al recibir este aviso, DESE se comunicó de inmediato con la Oficina de Administración ITSD de Missouri, que programa y mantiene la aplicación web, para eliminar el acceso público al portal y actualizar el código. Este asunto es serio», escribió Parson.
«El estado se compromete a llevar ante la justicia a cualquiera que haya pirateado nuestro sistema y a cualquiera que los haya ayudado o alentado a hacerlo, de acuerdo con lo que la ley de Missouri permite Y requiere. Un hacker es alguien que obtiene acceso no autorizado a información o contenido. Esto individuo no tenía permiso para hacer lo que hizo. No tenía autorización para convertir y decodificar el código».
Parson continuó diciendo que Renaud cometió un delito porque es un delito «acceder, tomar y examinar información personal sin permiso».
«Estos datos no estaban disponibles libremente y tuvieron que ser convertidos y decodificados. El estado no toma este asunto a la ligera y estamos trabajando para fortalecer nuestra seguridad para evitar que este incidente vuelva a ocurrir», dijo Parson.
«El estado se está haciendo cargo de su parte y estamos abordando áreas en las que debemos hacerlo mejor que antes. No descansaremos hasta que entendamos claramente las intenciones de este individuo y por qué estaban apuntando a los maestros de Missouri».
Otros medios de comunicación locales señalaron que Parson ha expresado durante mucho tiempo un profundo odio hacia los principales medios de comunicación del estado por su cobertura de su manejo de la pandemia de covid-19 y su inclinación por repartir contratos sin licitación.
Incluso miembros del propio partido de Parson lo criticaron por sus declaraciones, con el representante republicano Tony Lovasco escribir en twitter que estaba «claro que la oficina del gobernador tiene un malentendido fundamental tanto de la tecnología web como de los procedimientos estándar de la industria para informar vulnerabilidades de seguridad».
«Los periodistas que hacen sonar una alarma de manera responsable sobre la privacidad de los datos no son piratería informática criminal», dijo Lovasco.
El St. Louis Post-Dispatch defendió a Renaud en un comunicado y dijo que hizo lo correcto al informar sus hallazgos a DESE antes de que pudieran ser explotados.
«Que DESE desvíe sus fallas al referirse a esto como ‘piratería’ es infundado», dijo el abogado del periódico, Joseph Martineau, en un comunicado proporcionado por la historia de Renaud.
Los expertos criticaron duramente las declaraciones del gobernador, quien señaló que lo que hizo Renaud fue tan simple como presionar la tecla F12 en ciertos dispositivos.
El CTO de BreachQuest, Jake Williams, dijo MarketingyPublicidad.es que las organizaciones deben tener cuidado de no disparar al mensajero cuando se revelan vulnerabilidades de seguridad.
«Esto ciertamente no es piratería en ningún sentido de la palabra. Parece que el reportero usó una aplicación web disponible públicamente destinada a facilitar la búsqueda de certificaciones de maestros. Cuando se mostraron los resultados, el reportero simplemente vio el código fuente de la página web y encontré los números de seguridad social», dijo Williams.
«Si bien el gobernador Parson dijo que el reportero ‘descifró el código fuente HTML’ en realidad, simplemente usaron la función integrada en todos los navegadores web desde los albores de Internet. Debido a que HTTP no tiene estado, muchas aplicaciones web almacenan su estado en campos de formulario ocultos para que se pueden pasar del navegador al servidor con cada solicitud. Parece probable que estos campos de formulario ocultos incluyeran el número de seguro social del maestro. La pregunta de si esto fue un delito podría ser más blanco o negro si el reportero hubiera enumeró todos los registros antes de informar el problema».
Williams señaló que incluso la mención de Parson de solo tres registros tomados parece contradecir cualquier intento malicioso.
Agregó que, en lugar de centrarse en este llamado pirateo, Parson debería preocuparse por la seguridad de las aplicaciones del estado, particularmente aquellas que están disponibles para uso público. La historia de Renaud señaló que el estado ha enfrentado críticas anteriormente por sus prácticas de recopilación de datos.
“Encontrar una falla como esta en 2021 debería ser francamente vergonzoso para el estado. No sería la primera vez que un político dispara a toda máquina afirmando que acceder a información disponible públicamente es piratería”, dijo Williams.
«Amenazar a un reportero con acciones legales casi siempre es una mala idea y generalmente crea un efecto Streisand no deseado».
El director técnico de Vectra, Tim Wade, dijo que la situación subrayaba la necesidad de proteger a los investigadores de seguridad que operan en el bien público y la reacción negativa que suelen enfrentar por descubrir vulnerabilidades.
La indignación dirigida hacia aquellos que descubren la pérdida de datos y las vulnerabilidades debe redirigirse a las causas fundamentales de por qué estas fallas de seguridad continúan ocurriendo en detrimento de la seguridad individual, agregó Wade.
Señaló que la mayoría de los tribunales reconocen límites a las protecciones contra registros ilegales cuando las actividades ocurren claramente en un contexto público y explicó que es difícil imaginar que la baja sofisticación técnica de los comportamientos descritos, con una herramienta tan común como un navegador web, constituye algo sino el equivalente digital de las observaciones realizadas en un contexto público.
John Bambenek, el principal cazador de amenazas de Netenrich, dijo que los líderes gubernamentales deberían agradecer a las personas que notifican los problemas a su gobierno, no amenazarlos.
“A lo largo de la historia de la humanidad, los emperadores han respondido a quienes les decían que no llevaban ropa arremetiendo contra la audacia de quienes se atrevían a decir tal cosa”, dijo Bambenek.
«La vida sería mejor si ellos, ya sabes, simplemente se pusieran pantalones. Estoy seguro de que todos los piratas informáticos criminales reales del planeta notaron esta diatriba, y puedes apostar a que ajustaron sus objetivos en consecuencia».
