El anuncio y presentación de Cartera Digital Beta, la primera versión de la aplicación de cartera de identidad digital española, desarrollada según los criterios y principios del Reglamento eIDAS2 de la UE, y que comenzará a usarse como sistema para verificar la edad en páginas y plataformas de contenido para adultos, ha suscitado dudas respecto a su seguridad. En este artículo vemos cuáles son los riesgos de la Cartera Digital Beta para sus usuarios.
Contenido del artículo
¿Qué ciber riesgos tiene Cartera Digital Beta?
Determinar con certeza si la app Cartera Digital Beta es segura o no, depende en gran medida de saber en detalle cómo funciona todo el proceso de autenticación del usuario, generación de credenciales y verificación de la edad en internet, además de poder auditar su código y las medidas de seguridad implementadas, algo que, por el momento no es posible.
Por lo tanto, en las siguientes líneas hemos recogido una serie de posibles ciber riesgos de la Cartera Digital Beta para aquellos que decidan usarla (recordemos que el uso es voluntario, aunque necesario para poder acceder a páginas web y plataformas de contenido para adultos en España, cuando sea obligatorio que estas usen un sistema de verificación de edad adherido a esta iniciativa, a la futura ley de protección de menores en entornos digitales y en cumplimiento de la Ley de Servicios Digitales).
Posibles vulnerabilidades
Como cualquier software, Cartera Digital Beta puede presentar vulnerabilidades, algunas de las cuales pueden aparecer el mismo día de su lanzamiento o con posterioridad, y ser desconocidas, hasta que un ciberdelincuente pueda encontrarlas y decida explotarlas antes de que se solucionen.
Dado el poco tiempo de desarrollo detrás de la app, unos nueve meses, es probable que tenga alguna vulnerabilidad desconocida, que los dos meses de pruebas antes de su lanzamiento público no sean suficientes para encontrar y solucionar.
Las vulnerabilidades de aplicaciones como esta, a través de las que se pueden manejar datos personales, pueden suponer un riesgo para la protección de datos de menores y adultos que la utilicen.
Robo o filtraciones de datos
En principio, de esta app para evitar el acceso a contenidos sensibles por parte de menores de edad, solo sabemos que requiere el DNI electrónico, certificado digital cualificado o sistema Cl@ve para autenticar la edad del usuario al registrarse en ella y poder generar las correspondientes credenciales de mayoría de edad. No sabemos a qué datos personales concretos accede para verificar la edad y si estos datos quedan registrados por el emisor de credenciales.
En principio, se ha dicho que Cartera Digital Beta garantiza la privacidad y el anonimato al no vincular ningún dato personal con las credenciales de mayoría de edad. Sin embargo, por el momento no hay forma de poder asegurar completamente que la gestión, proceso y almacenamiento de esos datos personales sea seguro y no esté expuesto a posibles robos o filtraciones.
Así mismo, si los datos o información asociada a la app o a estas credenciales pueden robarse o filtrarse de alguna forma, podría acabar siendo interceptada por actores maliciosos que podrían usarla para extorsionar a los usuarios, llevar a cabo fraudes de suplantación de identidad o ataques de ingeniería social, como el phishing.
Un base de datos centralizada
Si muchos usuarios acaban utilizando Cartera Digital Beta, se crearía una base de datos centralizada con una información que sería el objetivo de ciberataques para poder hacerse con ella, aumentando las posibilidades de sufrir una brecha de seguridad en la que podrían filtrarse grandes cantidades de datos personales.
Así mismo, Cartera Digital Beta, así como las carteras de identidad digital europeas que promueve el eIDAS2, son aplicaciones gubernamentales, lo que podría implicar que la información de sus usuarios está bajo el control y vigilancia del gobierno.
Sin embargo, debemos señalar que Cartera Digital Beta es solo una aplicación desarrollada por la administración (con colaboración de la FNMT) y que otras empresas podrán desarrollar aplicaciones de cartera digital para cumplir con estas mismas funciones (válidas siempre que cumplan con los requisitos técnicos y legales para este tipo de apps, contemplados por las autoridades de protección de datos y en el eIDAS2).
Ahora bien, cabe preguntarse si las apps de cartera digital de estas empresas respetarán realmente el derecho a la protección de datos de los menores y adultos que las usen, o acabarán usando esos datos con otras finalidades, como el marketing o la publicidad.
Una medida insuficiente
Aunque no es uno de los ciber riesgos de la Cartera Digital Beta, no deja de suponer un problema y es que es una medida insuficiente para evitar el acceso de los menores a la pornografía y que realmente no contribuye de manera muy efectiva a crear un entorno digital seguro, ya que por el momento solo obliga a páginas web y plataformas online de contenido adulto a restringir el acceso a menores y no así a redes sociales o plataformas de mensajería instantánea, donde este problema también está muy presente.
Además, este sistema y solución para verificar la edad y poder acceder a páginas web y plataformas de contenido para adultos solo será obligatorio para sitios ubicados y que operen en España, es decir, que cualquier web o plataforma de pornografía fuera de España no está obligada a usar este sistema de verificación de edad (sí a verificar la edad en virtud del RGPD, por ello se puede denunciar una página web por no verificar la edad adecuadamente).
En la práctica, esto significa que si los menores quieren seguir viendo pornografía, solo tienen que acudir a una web extranjera o radicada fuera de España para hacerlo. Si bien es cierto que el INCIBE está desarrollando un registro de algunas de estas webs para solicitar la verificación de la edad a través del navegador. Pero incluso esta medida puede saltarse si se usa una VPN.
En definitiva, estos son algunos de los posibles ciber riesgos de la Cartera Digital que pueden enfrentar sus usuarios cuando finalmente esté operativa; hasta qué punto será o no confiable, garantizará o no la privacidad y anonimato de los usuarios dependerá de su código, su funcionamiento, cómo procese los datos realmente, quién pueda acceder a esos datos (si es que habrá personal autorizado a ello) y de las medidas de seguridad que se hayan implementado.
Para garantizar su seguridad, además, Cartera Digital Beta deberá someterse a las correspondientes auditorías y ser transparente tanto respecto a estas como a su política de privacidad.
Porque ahora es solo un sistema para verificar la edad, pero en el futuro tendrá más funcionalidades y gestionará en gran medida nuestra identidad digital al operar en internet.
