El exjefe de seguridad de Twitter, Peiter “Mudge” Zatko, ha acusado a la compañía de graves fallos en ciberseguridad y privacidad, y ha declarado ante agencias federales y el Congreso que los ejecutivos de Twitter engañaron a reguladores, directores y usuarios sobre el estado de las defensas de la plataforma. Twitter niega las acusaciones y afirma que Zatko fue despedido por su bajo rendimiento y liderazgo deficiente.
El martes se hizo pública una versión censurada de la denuncia de Zatko. La denuncia de 84 páginas y los documentos que la respaldan alegan que Twitter tiene controles débiles sobre el acceso de los empleados, una infraestructura obsoleta y vulnerable, un conocimiento insuficiente sobre dónde residen los datos confidenciales e incentivos que desalientan a los ejecutivos a afrontar ciertos problemas de seguridad.
La denuncia describe la seguridad como un problema de gobernanza
El argumento central de Zatko no es que Twitter tenga un único fallo de software. Alega que la empresa carece de los controles organizativos básicos necesarios para proteger un servicio utilizado por cientos de millones de personas, entre ellas funcionarios gubernamentales, periodistas, empresas y activistas. Entre las acusaciones figuran que demasiados empleados tienen amplio acceso a sistemas sensibles y datos de producción, que servidores importantes ejecutan software obsoleto y que Twitter no puede identificar ni eliminar datos de forma fiable cuando es necesario.
La denuncia también alega que altos ejecutivos presentaron a la junta directiva una visión incompleta del riesgo de ciberseguridad y que los incentivos por desempeño priorizaron el crecimiento de usuarios sobre las mejoras de seguridad. Estas afirmaciones provienen de un exejecutivo, no de un tribunal ni de un organismo regulador. La Comisión Federal de Comercio, la Comisión de Bolsa y Valores, el Departamento de Justicia y los comités del Congreso tienen ahora la oportunidad de evaluar las pruebas y la respuesta de Twitter.
Los informes contemporáneos han enfatizado esa distinción. El Guardian informó el 23 de agosto que Zatko alegaba "deficiencias extremas y flagrantes", mientras que Twitter describió la cuenta como una narración falsa que contenía inconsistencias y carecía de contexto importante.
Las acusaciones chocan con una década de obligaciones de la FTC
La cuestión regulatoria más importante podría ser si Twitter cumplió con los compromisos que adquirió ante la Comisión Federal de Comercio (FTC). En 2010, la FTC anunció que Twitter llegaría a un acuerdo para resolver las acusaciones de que no había protegido adecuadamente la información de los usuarios después de que unos atacantes obtuvieran el control administrativo del servicio. El acuerdo exigía que Twitter estableciera y mantuviera un programa integral de seguridad de la información.
La comisión aceptó la orden final en marzo de 2011, que prohíbe las declaraciones falsas sobre la seguridad, la privacidad, la confidencialidad o la integridad de la información no pública del consumidor y exige evaluaciones de seguridad independientes durante 10 años.
Zatko alega que las prácticas de seguridad reales de Twitter no cumplieron con las expectativas que se les habían hecho creer a los reguladores y a la junta directiva. Si los reguladores corroboran estas afirmaciones, podrían plantear dudas no solo sobre la mala ingeniería, sino también sobre el cumplimiento de una orden federal vinculante. Twitter no ha admitido ninguna violación de este tipo y se espera que impugne esta descripción.
Un nuevo caso de privacidad por valor de 150 millones de dólares eleva la apuesta
La demanda se presenta tan solo tres meses después de que Twitter acordara resolver otro importante caso federal de privacidad. En mayo, la FTC acusó a Twitter de utilizar de forma engañosa los números de teléfono y las direcciones de correo electrónico recopilados para la seguridad de las cuentas con el fin de segmentar la publicidad. La agencia afirmó que esta práctica afectó a más de 140 millones de usuarios.
El Departamento de Justicia anunció ese mismo día que Twitter había acordado pagar una multa civil de 150 millones de dólares y adoptar un programa de cumplimiento más exhaustivo, que incluye evaluaciones independientes, certificaciones anuales e informes de violaciones de seguridad. Este acuerdo puso de manifiesto la importancia de que los directivos proporcionen información precisa sobre privacidad y seguridad de la información.
La denuncia de Zatko alega que Twitter no fue del todo transparente sobre su postura de seguridad mientras operaba bajo esas obligaciones federales. Los reguladores deberán determinar si la denuncia contiene evidencia de infracciones adicionales, si los problemas identificados eran conocidos por los altos directivos y si las medidas correctivas fueron adecuadas.
El acceso de los empleados y la infraestructura son aspectos centrales
Uno de los puntos más graves de la denuncia es el acceso interno. Zatko alega que miles de empleados podían acceder a sistemas de producción sensibles y que Twitter no limitó suficientemente los privilegios según las necesidades del puesto. Si bien las grandes empresas tecnológicas suelen otorgar acceso a los sistemas operativos a sus ingenieros, los programas de seguridad avanzados generalmente aplican controles de privilegios mínimos, registro de actividad, segmentación y procesos de aprobación rigurosos para reducir el riesgo de uso indebido o vulneración de la seguridad.
Las acusaciones tienen especial relevancia porque Twitter sufrió un importante secuestro de cuentas en julio de 2020, cuando los atacantes manipularon a los empleados y obtuvieron acceso a herramientas internas utilizadas para controlar cuentas destacadas. Zatko fue contratado ese mismo año por el entonces director ejecutivo, Jack Dorsey, para reforzar la seguridad de la empresa tras dicha brecha.
Su denuncia también plantea inquietudes sobre la antigüedad y el mantenimiento de los servidores y dispositivos de los empleados de Twitter. El software obsoleto puede generar vulnerabilidades explotables, pero la importancia de un sistema sin actualizar depende de su configuración, exposición y controles compensatorios. Los investigadores independientes deberán distinguir entre la deuda técnica ordinaria, las vulnerabilidades graves pero controladas y las condiciones que generan un riesgo sistémico inaceptable.
Los bots son solo una parte de la disputa
Esta revelación coincide directamente con el intento de Elon Musk de rescindir su acuerdo de compra de Twitter por 44 mil millones de dólares. Musk argumenta que Twitter no ha justificado adecuadamente su estimación de que las cuentas falsas o de spam representan menos del 5 % de los usuarios activos diarios monetizables. Zatko alega que los ejecutivos carecían de incentivos para medir con precisión la prevalencia total del spam y que la empresa se centró en una métrica más restrictiva.
Estas acusaciones podrían ser relevantes en el litigio de Delaware sobre el acuerdo de Musk, pero la denuncia del informante es mucho más amplia que la disputa sobre el bot. Se centra en la seguridad de la información, la privacidad, la gobernanza de datos, el cumplimiento normativo y los controles internos. Los representantes de Zatko han declarado que él no coordinó su denuncia con Musk.
La existencia de una denuncia de un informante no resuelve la disputa sobre la fusión ni prueba que los documentos públicos de Twitter fueran falsos. Sin embargo, sí crea un nuevo conjunto de alegaciones que los reguladores, legisladores y litigantes pueden examinar mediante documentos y testimonios.
La siguiente fase pasa de la alegación a la verificación
Twitter afirma que la seguridad y la privacidad siguen siendo prioridades para toda la compañía y rechaza la descripción que Zatko hace de la organización. Zatko, un veterano investigador de seguridad que trabajó anteriormente en Google y en la Agencia de Proyectos de Investigación Avanzada de Defensa (DARPA), afirma que se sintió obligado a revelar las condiciones que, a su juicio, creaban riesgos para los usuarios y la seguridad nacional.
El gobierno federal ahora tiene varias opciones: la FTC puede examinar el cumplimiento de sus órdenes, la SEC puede evaluar si las divulgaciones a los inversores fueron sustancialmente engañosas, el Departamento de Justicia puede revisar posibles violaciones legales y el Congreso puede ejercer supervisión. Cada proceso tiene diferentes estándares y facultades.
Lo que está en juego va más allá de Twitter. Las principales plataformas funcionan cada vez más como infraestructura de comunicaciones, y los reguladores llevan años intentando determinar si las herramientas existentes de privacidad y protección del consumidor son suficientes para regular a las empresas cuyos sistemas afectan al debate público y a datos personales sensibles a una escala enorme.
La denuncia de Zatko presenta una prueba inusualmente detallada de esas herramientas. La pregunta importante después de esta semana ya no es si las acusaciones son dramáticas; sin duda lo son. La cuestión es si los investigadores pueden corroborarlas, identificar violaciones específicas y determinar si los controles de seguridad de Twitter se corresponden con las declaraciones que la empresa ha hecho a los usuarios, directivos y al gobierno federal.
