Meta multada con $101.5 millones por violación de seguridad de contraseñas

El principal regulador de privacidad de la Unión Europea ha multado a Meta con 91 millones de euros ($101.5 millones) por medidas de seguridad inadecuadas en relación con las contraseñas de los usuarios.

Hoy, la Comisión de Protección de Datos de Irlanda (DPC) anunció su fallo final en una investigación que involucra a Meta Platforms Ireland Limited (MPIL).

El anuncio indica que la investigación comenzó en abril de 2019 cuando MPIL informó que había almacenado por error las contraseñas de ciertos usuarios de redes sociales en “texto plano”, lo que significa que se guardaron sin ningún tipo de encriptación o protección criptográfica en sus sistemas internos.

Esta brecha suscitó preocupaciones significativas acerca de la seguridad de los datos de los usuarios y el cumplimiento del Reglamento General de Protección de Datos (GDPR).

El Subcomisionado Graham Doyle resaltó la gravedad de almacenar contraseñas en texto plano, declarando en el anuncio,

“Está ampliamente aceptado que las contraseñas de los usuarios no deben almacenarse en texto plano, considerando los riesgos de abuso que surgen cuando las personas acceden a dichos datos.”

“Debe tenerse en cuenta que las contraseñas, objeto de consideración en este caso, son particularmente sensibles, ya que permitirían el acceso a las cuentas de redes sociales de los usuarios”, agregó.

En junio de 2024, la DPC presentó un proyecto de decisión sobre el caso a otras autoridades supervisoras pertinentes en toda la Unión Europea y el Área Económica Europea.

Dado que no se presentaron objeciones contra el borrador, el DPC procedió a finalizar su decisión. El 26 de septiembre, el DPC informó a MPIL que enfrentaría una reprimenda junto con una cuantiosa multa de € 91 millones (aproximadamente $101.5 millones) por su negligencia.

El DPC identificó múltiples violaciones al GDPR en sus hallazgos. Específicamente, se citó a MPIL por no notificar al DPC sobre la violación de datos personales relacionada con el almacenamiento no cifrado de contraseñas de usuarios.

Además, la comisión señaló que MPIL no documentó las infracciones. Asimismo, el DPC descubrió que MPIL no había implementado medidas técnicas u organizativas adecuadas para proteger las contraseñas de los usuarios contra el acceso no autorizado.

Finalmente, el DPC acusa a MPIL de no implementar medidas de seguridad adecuadas para los riesgos asociados con el procesamiento de contraseñas.

Según un portavoz de Meta en un correo electrónico a Bloomberg, el problema se descubrió durante una revisión de seguridad en 2019.

El portavoz escribió, “Tomamos medidas inmediatas para corregir este error, y no hay evidencia de que estas contraseñas hayan sido mal utilizadas o accedidas de manera indebida.”

“Hemos señalado proactivamente este problema a nuestro principal regulador, la Comisión Irlandesa de Protección de Datos, y hemos colaborado constructivamente con ellos a lo largo de esta investigación”, declaró la portavoz.

Esta última multa se suma a la creciente lista de sanciones de GDPR que Meta ha recibido, que ya incluye varias de las multas más grandes jamás impuestas a gigantes tecnológicos, según lo informado por TechCrunch.

Esto subraya las luchas constantes de la empresa con el cumplimiento de la privacidad y plantea preguntas sobre su capacidad para proteger eficazmente los datos de los usuarios.