Meta, el conglomerado detrás de Facebook e Instagram, fue sancionado con una multa de 91 millones de euros —equivalente a unos 101,5 millones de dólares— por haber almacenado más de 600 millones de contraseñas de usuarios en esa plataforma, en un documento que no tenía las debidas barreras de seguridad. Resultado de una investigación de cinco años, la sanción fue establecida por la Comisión de Protección de Datos de Irlanda (DPC, por sus siglas en inglés).
Meta, sancionado por descuidar más de 600 millones de passwords de Instagram y Facebook
El escrutinio sobre esta práctica en Meta comenzó en el año 2019, señala la publicación Phone Arena. En la ocasión, la DPC descubrió que el brazo europeo de la compañía estadounidense había almacenado más de 600 millones de contraseñas en un documento sin cifrado. En concreto, guardó las claves de acceso en texto plano, durante más de 10 años.
Cuando se echó luz a ese desliz, Meta dijo que la mayoría de las contraseñas en texto plano pertenecían a Facebook Lite, una versión de la red social que tenía menos funciones en comparación con la edición regular, especialmente diseñada para regiones del mundo con bajos niveles de conectividad y para los usuarios con dispositivos de gama media y baja.
La exFacebook había admitido ante la Comisión que cientos de millones de contraseñas se almacenaron sin protecciones. Anteriormente, señalaron que las contraseñas sin cifrar no estaban disponibles para terceros, es decir, para personas ajenas a la compañía; aunque reconocieron que al menos 2.000 ingenieros realizaron 9 millones de consultas en esta base de datos.
La investigación que ahora concluye en la mencionada sanción económica determinó que Meta violó el Reglamento General de Protección de Datos (RGPD) de Europa al no cifrar ese documento. En concreto, el conglomerado con sede central en Palo Alto, California, es acusado de no notificar esa práctica en forma debida, de no documentar las violaciones a la privacidad de los usuarios, y de no tomar medidas para garantizar la seguridad de esa información.
“Las contraseñas son particularmente sensibles”, dijeron desde la DPC
“Es ampliamente aceptado que las contraseñas de los usuarios no deben almacenarse en texto plano, considerando los riesgos de abuso que surgen del acceso de personas a dichos datos”, señaló Graham Doyle, Comisionado Adjunto de la DPC. “Debe tenerse en cuenta que las contraseñas que se examinan en este caso son particularmente sensibles, ya que permitirían el acceso a las cuentas de redes sociales de los usuarios”, agregó.
