Proteger los datos personales

La respuesta a «¿Cómo se llamaba tu primera mascota?» suele estar a un pie de foto público de distancia, y por eso el NIST prohíbe ahora a los servicios pedir preguntas de seguridad cuando creas una contraseña.

Cuatro publicaciones que parecen inofensivas

Esta es una historia inventada. Minji, una estudiante de secundaria, publica cuatro cosas en un mes: una selfi con su uniforme escolar, un pastel de cumpleaños con la fecha escrita encima, una foto de su perro con su nombre en el pie y un video corto desde la misma parada de autobús cada mañana. Ninguna parece arriesgada. Juntas, sin embargo, suman. Puestas una al lado de otra, le dicen a un desconocido su escuela, su recorrido diario, su cumpleaños y la respuesta a «¿Cómo se llamaba tu primera mascota?».

Cómo define la ley coreana los datos personales

Los datos personales son cualquier información sobre una persona viva que la identifica. La Ley de Protección de Datos Personales de Corea los define de modo que incluyen la información que no identifica a alguien por sí sola pero sí cuando se combina fácilmente con otra información, que es exactamente la situación de Minji. El nombre, el número de teléfono y el número de registro de residente son los ejemplos evidentes. Los menos evidentes se suman: el nombre de una escuela, un recorrido diario, una foto de la puerta de tu casa, un cumpleaños. Cada uno parece inofensivo por separado. Juntos pueden bastar para adivinar respuestas de seguridad, hacerse pasar por alguien ante una compañía telefónica o encontrar dónde vive.

Dar menos datos en formularios, publicaciones y fotos

La protección más sencilla es dar menos datos. Antes de rellenar un formulario, pregúntate si el servicio de verdad necesita cada campo; muchos campos son opcionales aunque no lo digan. En las redes sociales, revisa quién puede ver tus publicaciones y tu lista de amigos, y piénsalo dos veces antes de publicar planes de viaje mientras estás fuera, uniformes escolares de niños o cualquier cosa que muestre tu dirección. Las cámaras de los teléfonos pueden guardar dentro del archivo de imagen el lugar donde se tomó la foto, así que revisa el ajuste de ubicación de tu cámara y si la aplicación con la que compartes la elimina.

Las aplicaciones piden permisos como ubicación, contactos, micrófono y fotos. Concede solo lo que una aplicación necesita para lo que la usas: una aplicación de linterna no tiene ningún motivo para leer tus contactos. La mayoría de los teléfonos permiten dar la ubicación solo mientras la aplicación está abierta, o dar una ubicación aproximada en lugar de una exacta. Revisa los permisos de vez en cuando y quita las aplicaciones que ya no usas, porque una aplicación abandonada sigue teniendo todo lo que le permitiste.

Por qué la pregunta de la mascota es un candado débil

Las preguntas de seguridad piden datos que a menudo son públicos o fáciles de adivinar, como muestra el perro de Minji. NIST SP 800-63B-4 dice que los servicios no deben pedirte que las uses al elegir una contraseña. Si un sitio aún insiste, trata la respuesta como una contraseña: inventa una respuesta aleatoria y guárdala en tu gestor de contraseñas. En una red wifi pública, busca https:// en la barra de direcciones. HTTPS cifra lo que envías a ese sitio, así que otras personas de la red no pueden leerlo, pero no convierte en honesto a un sitio deshonesto. Evita iniciar sesión en cuentas delicadas en una computadora compartida, y cierra la sesión al terminar.

Cuando una empresa te avisa de que tus datos se filtraron

Si un servicio te avisa de que ha sufrido una filtración, cambia allí tu contraseña y en cualquier sitio donde la hayas reutilizado, y activa la verificación en dos pasos. Espera mensajes de phishing que mencionen la filtración, porque los delincuentes saben que estás esperando noticias; contacta con la empresa solo a través de su propia aplicación o sitio. En Corea, el centro de denuncias de vulneración de datos personales de KISA (privacy.kisa.or.kr) recibe denuncias y consultas, y la línea 118 da orientación general sobre datos personales los días laborables de 9 a. m. a 6 p. m., mientras que las emergencias de hackeo y virus se atienden las 24 horas.