Hace unos días conocí vía el economista (si, a veces miro webs de objetividad difusa) que el gobierno se había dejado 23 millones de euros en la dichosa presidencia de la UE, y que la más beneficiada había sido Telefónica, que recibirá 12 millones de euros por el mantenimiento de la web de la presidencia europea durante seis meses. Esto incluye asistencia técnica y seguridad.
No hay que tener experiencia en el sector para darse cuenta que, si cualquiera hoy en día puede tener una web y además segura, como es posible que 6 meses de mantenimiento sean tan caros.
La cosa empeora si dos días más tarde la web de la presidencia recibe un ataque que cualquier desarrollador competente debería haber evitado.
El hackeo consistió en colgar una foto de Mr. Bean basándose en una vulnerabilidad XSS (cross-site scripting).
Este tipo de inseguridad se basa en ejecutar código scripting (como javascript) que permita recibir cookies de otros usuarios, incluidos administradores, o publicar contenido.
Seguramente, aunque miremos a los desarrolladores de Telefónica y les señalemos con el dedo, estos ni siquiera habrán realizado la web de la presidencia. En la inmensa mayoría de los casos Telefónica pide a una empresa ajena el desarrollo y sólo se encarga de hostearla en sus servidores, los cuales son bastante seguros. A parte, no se habla en ningún momento de que fuera Telefónica la encargada de su desarrollo. Seguramente fuera la empresa de X amigo de Y, miembro del gobierno que curiosamente aconsejó a la empresa de X.
No obstante, siendo competencia de Telefónica encargarse de la seguridad de la web, creo que con un presupuesto de 13 millones por 6 tristes meses te da de sobra para contratar un auditor de seguridad (si es que no los tiene ya la propia empresa), e informar a los encargados de su desarrollo de que existe un agujero “negro” en seguridad, propio de desarrolladores de tres al cuarto que de verdaderos profesionales de la informática.
Como siempre los cuatro amiguitos que van de listos (y lo son), se llevan un plus del copón por ese proyecto mientras que realizan un trabajo chapucero y cutre con tal de racanear para sus arcas el máximo de dinero.
El resultado, una vez más, es ser el hazmerreír europeo en Nuevas Tecnologías, en esas que al gobierno se le hincha el pecho en decir que reciben muchas ayudas y la verdad es muy diferente. Y mientras, no regulamos la informática, porque total, que más da si la web me la hace un industrial, un teleco, o un filólogo, que más da si me la revientan y quedo como una empresa de aficionados. Lo importante es que me he llevado 13 millones y soy el más gallito del corral.
Referencias:
Que Windows es el claro ejemplo de cómo no hacer las cosas y de tener agujeros de seguridad como edificios de grandes es una realidad, pero que se pueda crackear una password de Windows en varios minutos y sin ninguna noción avanzada en seguridad resulta insultante.
