Cuatro razones por las cuales tu correo no es privado

“No digas nada en línea que no querrías que fuera expuesto en un anuncio panorámico con tu cara puesta en él”.  –Erin Bury

¿Cuántos correos privados enviamos al día? ¿Y qué decimos en ellos? ¿Criticamos audazmente al jefe con otro colega? ¿Despotricamos de otro empleado? ¿Recibimos o enviamos correos que empiezan con "mantén esto entre tú y yo"? ¿Reenviamos mensajes, pero no deberíamos hacerlo? ¿Reenvían nuestros mensajes cuando no deberían?

Las personas envían correos como si en serio fueran privados. Mandan críticas, quejas y calificativos de colegas, pensando que, por alguna extraña razón, esos correos no saldrán a la luz pública ni serán vistos por la persona incorrecta. Si enviamos un correo a una persona o a un grupo de personas, asumimos que no reenviarán el mensaje, que solo será leído por las personas a las que lo dirigimos. Siempre.

Por alguna razón desconocida, otorgamos al correo una especie de magia inherente, con la cual la privacidad está, de alguna forma, garantizada. Enlisto algunas de las razones por las cuales el correo, como lo conocemos, está lejos de ser privado:

1. El administrador malvado. El administrador del servidor de correo corporativo bien puede tener privilegios suficientes como para leer el correo ajeno. Y si él lo puede leer, también puede ser "persuadido" por un jefe: "Oye tú, necesito saber qué dice el correo de mi empleado".

Otro ejemplo de un ‘administrador maligno’ es aquel que posee privilegios para poder entrar a las computadoras de los empleados. Los privilegios se otorgan para dar soporte, pero con ese poder, basta sentarse frente a la computadora de un colega para abusar de sus privilegios y de la confianza en él depositada.

2. Las leyes importan. Ante un caso penal, o porque las leyes de un país así lo establecen, podríamos estar obligados a entregar correos (en particular los corporativos). Debemos estar enterados, porque las leyes podrían indicar que los correos son todo menos privados.

3. Nube violentada. ¿Quién no usa un correo basado en la nube? Existen muchos, y de diversos sabores y colores; algunos incluso llevan años en el mercado, y ya hasta parecen obsoletos. Por cierto, envíenme correos a [email protected] y serán ignorados.

No hay garantía de seguridad en el correo en la nube. Ya sea porque el usuario fue descuidado al usar su contraseña, o por una intrusión al servidor en la nube, y ni hablar de cuando abrimos una cuenta para, por ejemplo, usar Uber con un nombre de usuario [email protected] y usamos la misma contraseña que para entrar al correo [email protected]. ¿Para qué crear una contraseña diferente que debemos recordar? Mal hecho. Un hackeo a Uber le dará al atacante, de inmediato, un vínculo entre la cuenta de correo y la contraseña de esa cuenta de correo.

4. Receptor sin escrúpulos. No hacen falta administradores malvados ni hackeos a la nube. Es suficiente si quien recibe un correo decide hacer lo incorrecto con él. Y claro, hay también lugar para el error. Si nos llega un correo, diciendo: "Este animal del licenciado Vicencio otra vez jodiendo con las gráficas del mes pasado, apúrate y envíaselas". ¿Qué hacemos? Lo normal, suele ser tomar ese mismo correo y reenviarlo a Vicencio con el dato deseado. Para entonces ya es demasiado tarde: hemos creado un lío con Vicencio por nuestro descuido.

El presente artículo asume el uso del correo sin ningún tipo de seguridad adicional a la que tiene. Varios de estos riesgos pueden ser mitigados con controles tecnológicos, como, por ejemplo, el cifrado de los correos. Pero es usual ver el correo sin cifrar, me temo que porque las soluciones son intrusivas e incómodas para los usuarios. Existen, por ejemplo, soluciones donde todos los involucrados deben usar el mismo producto: eso está destinado al fracaso.

Realicé una encuesta en Twitter sobre el uso de este tipo de productos de cifrado, y esto me respondieron:

Encuesta: ¿Usas alguna solución/producto para cifrar tus correos?

— Fausto Cepeda (@FaustoCepeda) 25 de julio de 2016

Para interpretar los resultados, tomemos en cuenta que muchos de mis seguidores son (creo) gente con interés en la seguridad. Y aún así, casi la mitad dice no usar un producto para cifrar su correo. Y los que sí, solo la usan a veces.

Así que la próxima vez, piense dos veces antes de enviar ese correo creyendo que lo leerá solo el destinatario.