La condena del hacker de AT&T abre una discusión sobre la definición de intrusión informática

La justicia estadounidense ha tomado la controvertida decisión de declarar culpable de una serie de crímenes federales a un hacker que descubrió una vulnerabilidad en el sitio web de la empresa de telecomunicaciones AT&T y la utilizó para recolectar los datos personales de 114.000 usuarios de iPad.

Andrew Auernheimer es un hacker de 27 años que operaba en Internet como “Weev”. En 2011, descubrió que el sitio web de AT&T tenía una vulnerabilidad que hacía públicas las direcciones de correo de cualquier usuario que se conectaba a su sitio web mediante una iPad.

Auernheimer explotó esta vulnerabilidad utilizando un programa que generaba códigos ICC-ID (identificadores únicos para autentificar la SIM de una iPad en una red AT&T) para ingresar a los sitios web haciéndose pasar por estos equipos.

Es así como el hacker recolectó las direcciones de correo electrónico de 114.000 usuarios de iPad y pudo relacionar esta información con su respectiva iPad gracias a los ICC-IDs inventados que utilizó.

Después envió toda la información recolectada al medio de noticias informáticas Gawker para que hiciera un artículo para dar a conocer la situación, alertar a los usuarios sobre el riesgo y presionar a AT&T para que solucione el problema. Gawker publicó el artículo sin mencionar datos específicos sobre la información robada.

La decisión de castigar al hacker por sus acciones ha despertado críticas porque hay quienes dicen que, en primer lugar, los datos que recolectó ya eran públicos y, en segundo lugar, no publicó la información personal ni la utilizó con fines maliciosos, sino que la entregó a un medio de comunicación para que alertara sobre el problema.

Graham Cluley, analista de Sophos recalcó que, aunque era difícil de encontrar, la información ya estaba disponible en el sitio web y cualquier visitante podía acceder a ella. “No fue una intrusión con fuerza bruta en absoluto”, dijo. “Cuando Google escudriña la web o cuando alguien lee tu artículo y encuentra tu dirección de correo electrónico allí, ¿está cometiendo un crimen de identidad?”, dijo.

“Debería haber un límite bien marcado o cualquier cosa parecida a Google se vuelve ilegal. ‘No requiere credenciales de acceso’ es ese límite”, opinó el analista de seguridad Dan Kaminsky.

Todavía no se ha definido la sentencia de Weev, pero podría pasar un máximo de 10 años en prisión y pagar una multa de hasta 500.0000 dólares. Su abogado ha confirmado que apelará la decisión del tribunal.

“Las repercusiones podrían ser gigantescas y terribles”, opinó Rob Graham, analista de la empresa de seguridad Errata Security. “Los analistas van a ser más cautos con la información que publican. Tendrán miedo de convertirse en el próximo Weev”.

Fuentes:

Hacker Found Guilty of Breaching AT&T Site to Obtain iPad Customer Data Wired

Hacker Found Guilty for Exposing iPad Security Flaw eSecurity Planet

Security Researchers Cry Foul Over Conviction Of AT&T iPad Hacker Forbes