Source: https://www.samuelparra.com/2010/03/07/fallo-seguridad-compromete-datos-millones-espanoles-spee/?replytocom=12649
Timestamp: 2019-12-12 01:47:16+00:00

Document:
Un fallo de seguridad compromete los datos de millones de españoles | Protección de datos
Un fallo de seguridad en un servicio online del Servicio Público de Empleo Estatal permitía acceder a datos privados de varios millones de ciudadanos españoles. Para explotarlo sólo era necesario conocer el número de DNI de la víctima.
El error no fue corregido a pesar de ser puesto de manifiesto en sede judicial; tuvo que intervenir la Agencia Española de Protección de Datos para que, tras más de un año, subsanaran el fallo de seguridad.
Siempre he criticado que las grandes Administraciones Públicas, las que manejan millones de datos personales de nosotros, no se toman en serio esto de la protección de datos de carácter personal; y esto así, al menos mi opinión, porque no son conscientes de lo valioso de la información que tratan y además parece no importarles lo que ocurra con ella.
Y prueba de ello es lo que hoy voy a contar, en primera persona.
Allá por octubre de 2007, como uno más de los varios millones de españoles, solicité una prestación contributiva por desempleo en Murcia.
Tras ser concedida se me entregó un «justificante de demanda de empleo» (DARDE), en el cual figuraba la fecha en la que me había dado de alta en el Servicio Público de Empleo Estatal (SPEE).
Y aquí comenzaron las irregularidades.
Se me informó que debía renovar la tarjeta (DARDE) en las fechas indicadas en ese documento y que podía hacerlo por Internet; para ello, debía acudir a la sección de «Tu oficina SEF en casa» de la dirección web http://www.sefcarm.es.
Una vez allí, sólo tendría que introducir mi número de DNI y como contraseña la fecha en la que me había dado de alta en el SPEE, o sea, la fecha que figuraba en el DARDE.
A cualquier aficionado en seguridad ya le debe llamar la atención que para acceder a un servicio público con cierta trascendencia para el ciudadano, la contraseña sea una fecha y encima impresa en un papel que tienes que llevar de un lado para otro y conservarlo durante muchos meses.
Pues sí, este mecanismo de «autenticación» perdura actualmente, siendo imposible modificar la «contraseña» (fecha de alta). Excuso decir, que aun desconociendo la fecha, ¿cuántas posibles combinaciones puede haber para un ciudadano medio? ¿2000? ¿3000? Pero esto es otra historia…
No había salido aun de mi asombro, cuando accedo al sistema: pongo mi DNI y la fecha correspondiente.
Al entrar se tienen una serie de servicios disponibles, me centraré aquí en el que me interesaba: renovación de la demanda de empleo (o consulta de de la demanda, es lo mismo).
Hacemos click, aparecen todos mis datos personales, incluidos los de formación, cursos, empresas en las que he podido trabajar, carnet de conducir, etc.
Solo me falta darle a «Renovar» y ya está, demanda de empleo renovada.
Pues no explico el problema, indico lo que enviaba el navegador web justo después de hacer click sobre «Renovación de la demanda»:
[quote]GET http://www.sistemanacionalempleo.es/ConsultaDemandaWEB/consultaDemanda.do?idDemanda=D++YYYYYYYY&modo=consultaDatos[/quote]
Donde he puesto YYYYYYY figuraba mi número de DNI.
No hace falta tener una imaginación ciclópea para probar a poner en el navegador, directamente, esa misma dirección, pero en vez de YYYYYY (mi DNI) poner otro cualquiera, por ejemplo ZZZZZZZ, resultado: aparecen todos los datos personales del titular del DNI ZZZZZZZZ, incluyendo información sensible muy golosa para empresas de seguros, marketing y acreedores.
Inmediatamente hice un programita que dejé funcionando durante varios días probando todas las combinaciones posibles de números de DNIs para hacerme con una base de datos de ciudadanos españoles importante, porque NO sólo figuran los datos de las personas que ahora mismo estén en el paro, sino los de cualquiera que alguna vez lo hayan estado o se hayan inscrito a lo que era el INEM.
Este fallo de seguridad lo reporté a través del formulario de contacto que figuraba en la web del SPEE, sin obtener respuesta alguna a día de hoy.
Por otro lado y con ocasión de un pleito que inicié contra el SPEE, puse de manifiesto en la demanda y en la reclamación previa este fallo de seguridad; además, para que vieran lo sencillo que era, adjunte un CD con una grabación, paso a paso y explicando lo que hacía, para que tanto el juez como el SPEE vieran claro el problema. El resultado en el juicio: el abogado del Estado le dijo a su señoría que los fallos de seguridad existen y que tenemos que convivir con ellos, y que si un hacker quería podía entrar en la NASA y en el FBI, que la inseguridad informática no se puede evitar. El juez por su parte indicó en la Sentencia que «los principios de seguridad e intimidad, en ningún caso, deben prevalecer sobre los de transparencia, veracidad, legalidad y solidaridad«.
Misteriosamente, a pesar de haberse celebrado el juicio, el fallo de seguridad seguía sin resolverse (ya habían transcurrido más de 7 meses).
Esto ya me lo imaginaba, así que casi simultáneamente a la demanda jurisdiccional interpuse denuncia ante la Agencia Española de Protección de Datos por el problema de seguridad, aportando también el mismo CD.
De esta vía destaco algunas de las alegaciones que hizo el SPEE:
[quote]»El denunciante logró el acceso a los datos de los demandantes de empleo modificando el código fuente»
«El fallo se pudo llevar a cabo gracias a una reingeniería del sistema, utilizando ciertas capacidades de los navegadores web para observar el código fuente intercambiado entre dicho navegador y el servidor web del Sistema Nacional de Empleo y además modificación del código fuente para suplantar el DNI del usuario por un segundo DNI».[/quote]
La Agencia Española de Protección de Datos le pregunta al SPEE, que si a su juicio, «para ver el código fuente de una página web se requieren de extensos conocimientos de programación informática, o si se debió utilizar alguna herramienta especial» (jejeje, la AEPD ironiza).
El SPEE responde que:
[quote]»El denunciante usó lo que en el lenguaje informático se denomina un ataque de fuerza bruta, necesario para conocer los números de DNI. Además, el denunciante puede ser un experto en la materia como revela que dispone de una página web: www.samuelparra.com«[/quote]
Sin embargo, la parte que más me gusta de la Resolución de la AEPD es la siguiente, en el Fundamento de Derecho Tercero:
[quote]»En lo que respecta a las alegaciones del SPEE que el acceso se produce por el denunciante, que dispone de una página web sobre protección de datos, es experto y tiene conocimientos amplios en la materia, se debe señalar que lo que esta persona desarrolló es una puesta a prueba del sistema y de sus datos, lo cual debía haber hecho el SPEE previamente a facilitar servicios de consulta… Lo que sí se acredita es que tanto en el CD como a través de los servicios de inspección, incluso con posterioridad a que el SPEE tuviera noticia a través de la reclamación previa y demanda ante el Juzgado, el sistema era accesible, hasta agosto de 2009″.[/quote]
Finalmente la AEPD termina en declarar que se ha vulnerado gravemente el artículo 9 de la Ley Orgánica de Protección de Datos, es decir, el principio de seguridad. Además se declaran otras infracciones más que si el lector está interesado podrá consultar directamente en la Resolución.
Yo destacaría de este caso lo siguiente:
1: lo que tarda la Administración en reaccionar y reparar: más de un año
2: el poco interés en proteger los datos personales de los ciudadanos porque este fallo de seguridad es de una simplicidad extrema y no lo repararon hasta que se las vieron venir.
El diario El Mundo, en su edición del domingo 7 de marzo ha publicado esta noticia.
La Resolución 02714/2009 por la que se declara la infracción al SPEE aun no está disponible en la página web de la AEPD, pero se puede descargar desde aquí. (ojo, casi 10 megas).
A día de hoy, el problema ya ha sido reparado y se ha modificado la forma de acceso al sistema. Y NO, no dejé ningún programa varios días para obtener toda la información del SPEE, es una advertencia/broma al lector para sensibilizarlo con el problema: no lo hice pero cualquiera podría haberlo hecho.
Categoría: En primera persona, Multas, ResolucionesPor Samuel Parra 7 de marzo de 2010 61 Comentarios
Etiquetas: Administración Públicaseguridadspee
AnteriorPublicación anterior:El sistema de consulta de puntos del carnet de conducir es ilegal, pero no lo van a cambiarSiguientePublicación siguiente:Utilizaba los datos de los currículum para emitir facturas falsas
7 de marzo de 2010 en 23:59
«Inmediatamente hice un programita que dejé funcionando durante varios días probando todas las combinaciones posibles de números de DNIs para hacerme con una base de datos de ciudadanos españoles importante, porque NO sólo figuran los datos de las personas que ahora mismo estén en el paro, sino los de cualquiera que alguna vez lo hayan estado o se hayan inscrito a lo que era el INEM.»
Perdona, tu justiciero al que debemos todos dar las gracias por ayudar a estar más seguro, ¿cual era el motivo para dejar la aplicación esta funcionando varios dias?
Vale que el sistema sea pesimo, pero el que se merece una denuncia eres tu por hacer un ataque contra un sistema público con el único objetivo de publicarlo en tu blog.
8 de marzo de 2010 en 00:01
Jaja, Samuel, eres un hacker, menuda aventura.
Si lo que para las empresas privadas son sanciones para las adminsitraciones fuesen indemnizaciones para los afectados por el mal tratamiento de los datos, otro gallo cantaría…
8 de marzo de 2010 en 00:43
Ignorando el primer comentario (que podría ser perfectamente borrado sin que se perdiera nada importante), hay una cosa que no acabo de comprender del todo. Si la deficiencia la mostraba el sistema nacional de empleo ¿por qué la denuncia iba contra el sistema de empleo de Mucria? Me imagino que es porque ese es el organismo con el que te diste de alta, pero ellos a su vez te remitían al sistema global.
8 de marzo de 2010 en 00:45
Por cierto, he de confesar que hace 2 años también vi dicho fallo pero por pura vaguería no «jugué» con el GET, aunque vaticinaba muy buenos resultados. Me llamó la atención que los únicos datos fueran una fecha y un dni por lo vulnerable de ese par de items pero de ahí no pasé. Gracias por haber desarrollado la idea y por haberte tomado la molestia de denunciarlo. Parece mentira que después de la puesta en marcha de la ley 11/2007 pasen cosas tan tontas como esta.
âInmediatamente hice un programita que dejÃ© funcionando durante varios dÃ­as probando todas las combinaciones posibles de nÃºmeros de DNIs para hacerme con una base de datos de ciudadanos espaÃ±oles importante, porque NO sÃ³lo figuran los datos de las personas que ahora mismo estÃ©n en el paro, sino los de cualquiera que alguna vez lo hayan estado o se hayan inscrito a lo que era el INEM.â?
Perdona, tu justiciero al que debemos todos dar las gracias por ayudar a estar mÃ¡s seguro, Â¿cual era el motivo para dejar la aplicaciÃ³n esta funcionando varios dias?
Vale que el sistema sea pesimo, pero el que se merece una denuncia eres tu por hacer un ataque contra un sistema pÃºblico con el Ãºnico objetivo de publicarlo en tu blog.
Enhorabuena campeÃ³n.
Hombre «AnÃ³nimo», que lo de «descargarme» la base de datos era una broma para picar al lector 😉 . Broma habitual en mis artÃ­culos si les echas un vistazo (como esa otra que facilito una base de datos con todos los DNIs, y varios mÃ¡s). Son guiÃ±os a mis lectores habituales.
Y respecto a que me merezco una denuncia por atacar un sistema pÃºblico con el Ãºnico objetivo de publicarlo en mi blog, pues si asÃ­ quieres verlo, muy bien. Creo no obstante, que el resto de personas (sobre todo los que conocen este blog) no verÃ¡n ese objetivo (lo podrÃ­a haber publicado cuando lo descubrÃ­ y me he esperado hasta ahora). Si lo denunciÃ© fue sobre todo para que lo arreglasen, y por supuesto, pensaba contarlo en mi blog cuando llegase el momento, que para eso escribo en Ã©l (de igual forma que tambiÃ©n escribo cuando me desestiman otras denuncias)… pero de ahÃ­ a decir que voy asaltando los sistemas de la AdministraciÃ³n para luego venir a contarlo aquÃ­…
8 de marzo de 2010 en 00:47
Impresionante, se podía acceder a los dni de cualquier modificando la sentencia enviada por get 😉 paso de comentar lo que me parecen los programadores de la pagina que me da algo.
Solo comentar que las excusas para defenderse son de chiste, esto solo pasa en España 😉
Muy bueno el descubrimiento, y gracias por publicarlo, solo aquellos paranoicos de la seguridad entendemos lo que has echo.
8 de marzo de 2010 en 00:50
Alejandro Valdezate dijo:
Échale un vistazo a la Resolución. En realidad la parte de denuncia al SEF de Murcia es por otras cuestiones, en concreto por no poner cláusulas informativas en algunos formularios.
La parte del fallo de seguridad (el asunto importante en la denuncia) va contra el SPEE 🙂 .
8 de marzo de 2010 en 00:52
Por cierto, he de confesar que hace 2 aÃ±os tambiÃ©n vi dicho fallo pero por pura vaguerÃ­a no âjuguÃ©â? con el GET, aunque vaticinaba muy buenos resultados. Me llamÃ³ la atenciÃ³n que los Ãºnicos datos fueran una fecha y un dni por lo vulnerable de ese par de items pero de ahÃ­ no pasÃ©. Gracias por haber desarrollado la idea y por haberte tomado la molestia de denunciarlo. Parece mentira que despuÃ©s de la puesta en marcha de la ley 11/2007 pasen cosas tan tontas como esta.
Pues todavÃ­a hay otros servicios que funcionan igual: DNI+fecha como mecanismo de autentificaciÃ³n… Seguramente si no hubiera denunciado nada el fallo seguirÃ­a ahÃ­…
8 de marzo de 2010 en 00:53
Impresionante, se podía acceder a los dni de cualquier modificando la sentencia enviada por get paso de comentar lo que me parecen los programadores de la pagina que me da algo.
Solo comentar que las excusas para defenderse son de chiste, esto solo pasa en España
Gracias por el apoyo 🙂 por aquí otro paranoico de la seguridad y privacidad.
8 de marzo de 2010 en 00:54
Ahí está, le has «dao» en el clavo 😉
Pingback: Un fallo de seguridad compromete los datos de millones de españoles | El Noticiero
Kialaya dice:
8 de marzo de 2010 en 09:15
Vergonzosa me parece la falta de interés de la administración por subsanar un claro fallo de seguridad del tamaño de la Antártida. Ya me parece mal que existiera ese fallo a priori, puesto que el gobierno y la administración pública debería de contar con profesionales que supieran evitarlos, pero luego encima no querer dar al brazo a torcer y reconocer que han metido la pata y sencillamente arreglarlo me parece absurdo. Así nos va, un año para arreglar un fallo de seguridad y quieren arreglar la crisis en un pispas? Pues yo te agradezco el que «hackearas o atacaras» como dicen (anda que el que dice que eso es un hackeo no es por nada pero de informática mucha idea no tiene) y denunciaras. Si existiera más gente como tu velando por la privacidad de los datos de los demás, mejor nos iría. No entiendo como nadie te puede criticar por ello y además usando como has hecho los cauces legales y no publicando hasta que se ha dictado sentencia. Enhorabuena de mi parte y gracias.
8 de marzo de 2010 en 09:21
Quisiera puntualizar que no es mi deseo molestar a nadie con lo de que «el que dice que eso es un hackeo no es por nada pero de informática mucha idea no tiene». Yo misma no tengo grandes conocimientos de informática, programación ni redes, muchísimo menos para «hackear» ningún sistema pero lo que describe este señor en su blog es sencillamente sustituir unos números por otros en una dirección URL del navegador. Dudo que eso se pueda considerar «hackear» un sistema de cualquiera de las maneras. Y el programita que hizo sólo automatizaba dicho proceso por lo que le he entendido, no hacía nada más realmente. Releyendo mi anterior comentario he querido mencionar esto antes de que a alguien le molestase. 🙂
8 de marzo de 2010 en 09:47
Lo peor del caso es que a las administraciones publicas no les afecta como a los ciudadanos y pequeñas empresas las resoluciones de la agencia de protección de datos. ¿Va a haber alguna dimisión?, ¿alguien lo va a pagar de su bolsillo? ¿Quien hizo la pagina web, probablemente hijo de algún alto gerifalte, va a pagar por su error de programación?.
Te voy a contar un caso relacionado, también relativo a la comunidad de murcia, y que me afecta a mi personalmente.
Tengo un hotel y tengo que enviar mis precios también por Internet. Las claves de acceso son el dni-cif y el numero de registro que tenemos en la comunidad. Estos son datos fáciles de conseguir, en la propia pagina de reservas online de la comunidad podemos sacar estos dos datos. Yo mismo hice la prueba y comprobé que podía modificar los precios de cualquier hotel de la región. Lo he puesto en conocimiento de la consejería varias veces, y se hacen la callada por respuesta.
Que me queda, denunciarlos ante la AGPD y meterme yo en follones legales. No gracias.
Pingback: Un fallo de seguridad compromete los datos de millones de españoles
David González Calleja dice:
8 de marzo de 2010 en 10:27
Enhorabuena por la resolución. Los argumentos del SEPE son inauditos, para enmarcar.
Leí ayer la noticia en El Mundo. Seguro que te ha gustado que la publicaran, pero ¿te ha gustado también cómo la han publicado?
8 de marzo de 2010 en 10:34
Samuel, menuda aventura la tuya. Siempre velando por el interés de los demás. Bueno… en este caso, más que el interés de los demás, parace una actuación de satisfacción personal.
En teoría y por los datos que nos das, parece que sin comerlo ni beberlo te encontraste un fallo de seguridad, actuaste en plan «hacking ético» (sin que nadie te lo pidiese o encargase), por mero interés profesional, comuniscaste el error por activa y pasiva, pero nadie te hizo caso. Y, no te dejaron más remedio que acudir a la AEPD.
Una muy bonita historia.. pero, no hay ninguna otra intención?. Cuando cuentas que pediste una prestación, que luego iniciaste un procedimiento judicial contra el SPEE, no te parece que suena a «vedetta».
Hombre, utilizar un programa para vulnerar DNI, debe ser interesante, muy interesante, pero más que buscar el indicar la existencia de un fallo de seguridad, has acudido a la AEPD en busca de revancha, vendetta, o como quieras llamarlo.
Utilizar un programa para generar DNI, con vistas a (y cito) -«inmediatamente hice un programita que deje funcionando durante varios días probando todas las combinaciones de posibles números de DNI para hacerme con una base de datos de ciudadanos españoles importante»- es algo un poco ilegal, más en tema de protección de datos, dado que has realizado un tratamiento no autorizado de datos (por lo menos el de las personas que presentaste como prueba, y entendiendo por tratamiento lo que dice la LOPD y el RDLOPD), sin conocimiento de su titular, recabados de fuentes no accesibles al público. Si a mi me comunica la AEPD que has utilizado mi DNI, vamos… espera el inicio de un procedimiento sancionador (claro, que como actuaste como persona física.. te libras, verdad .;-D).
Pero lo que más me intriga es que el SPEE no haya incoado un procedimiento contra ti por ataque a una aplicación informática y servidor, utilización de ingenieria inversa y tratamiento no autorizado de datos, más cuando…les das las pruebas de lo que has hecho.
Espero Samuel que no te pillen, y que los enemigos que te vas haciendo por el camino no busquen nunca un fallo de seguridad en esta página, ni en la de la empresa en la que trabajes, ni se publiquen datos de usuarios, datos de personas que comentamos.. Ya sabes lo que se dice -«arrieros somos y en el camino nos encontraremos»-.
Mientras tanto, sigue investigando, sigue encontrando y denunciando… sigue con tu labnor de «Robin Samuel Parra» en la jungla de la LOPD.
j0n3 dice:
8 de marzo de 2010 en 10:35
Es responsabilidad de los desarrolladores aportar ese nivel de seguridad… que no escurran el bulto.
8 de marzo de 2010 en 11:56
Para tu bienestar económico, creo que has tenido suerte.
Hay fallos de seguridad en los servicios de banca electrónica de bancos y cajas de ahorro que han costado miles de euros a sus clientes, y que tras ser identificados siguen sin ser resueltos…
Un ingeniero en paro. dice:
8 de marzo de 2010 en 12:05
Hola. Yo soy un Ingeniero en Informática en paro, llevo varios años sin encontrar trabajo gracias al gran intrusismo que hay en el sector y te puedo decir que eso no es un error de seguridad, eso es una negligencia en toda regla. Es un error de principiante o de aficionado. No te preocupes que no has modificado fuentes ni has hecho ninguna labor de alta ingeniería que no pueda hacer cualquier crio de 16 años que haya leído un par de revistas de informática. Quizás para los que desarrollaron el sistema o para los que dirigen el departamento eso sea algo muy avanzado, demostrando la ignorancia y la incompetencia del personal que se encargó de hacer y de trabajar con ese sistema. Realmente negligencias de ese tipo en lugares como la administración con los recursos que tienen deberían de estar fuertemente penadas, no es lo mismo un aficionado que tiene una página personal o una pequeña empresa que no tiene recursos para pagar a un buen profesional, que una administración pública.
feanorknd dice:
8 de marzo de 2010 en 12:14
Buenas… he estado algunos años trabajando en el area tecnica de empresas de hosting. Solo decir que hace muy bien en denunciar publicamente y exponer tal cual ha hecho este caso concreto. Puedo asegurar que es increible la cantidad de ineptos e irresponsables que trabajan en la actualidad para algunos organismos públicos, incumpliendo premisas básicas de seguridad, normativas RFC (en servidores de correo, por ejemplo) y algunos otros casos…. me parece increible y bochornoso. Exponerlo publicamente con todo lujo de detalles es el único modo viable de intentar «contrarrestar» ese pasotismo e ineficacia existente y luchar contra ella. Visualizar una URL y averiguar que unicamente cambiando una variable pasada via POST permite acceder a estos datos no es algo tan DIFICIL como quieren hacer creer: mas bien lo considero una estupidez digna de cualquier chavalillo con unos conocimientos medios de informatica…… qué alguien explote ésto sin que se haga público es cuestión de tiempo, si es que no lo han hecho ya. Cabe decir, que la inyección en GETs a servidores web es uno de los métodos más usados para Hacking o defacing de páginas web, y no es para nada raro, especial o complicado, como esos ineptos quieren hacer creer…. mas bien, es mucho más complicado intentar liar la perdiz y no solucionar el problema, que hacerlo en un pispas, introduciendo medidas de control, como variables de sesión que identifiquen el DNI demandante.
Me parece absurdo que cosas como estas ocurran cuando la resolución del problema debería apoyarse unicamente en un email enviado al webmaster….
Repito: me parece que hay mucha incompetencia profesional en este sector de la informática en España, y felicito a esta web por denunciarlo tan claramente.
8 de marzo de 2010 en 12:20
samuel, no habia leido tu frase final de -«A día de hoy, el problema ya ha sido reparado y se ha modificado la forma de acceso al sistema. Y NO, no dejé ningún programa varios días para obtener toda la información del SPEE, es una advertencia/broma al lector para sensibilizarlo con el problema: no lo hice pero cualquiera podría haberlo hecho»-. La pones en letrita tan clarita que parce que la has añadido después… más para solventar el problema de reconocer que te has hackeado al SPEE. Así que, para recabar los números no dejaste el programita varios días generando númeritos de DNI, es una «licencia literaria» (o.. no, te basto con tenerlo puesto unas horas para recoger datos de varios dnis entre una franja determinada de números… para verificar que el «agujero» estaba; utilizar los mismos para entrar en el sistema, conocer la información «privada» de esas personas, a las que igual no les hace (no nos hace) gracia que alguien acceda a la misma).
8 de marzo de 2010 en 12:24
A Andrés…
Hacer un script bash o «programita» y dejarlo corriendo para vía GET, extraer de la web pública datos confidenciales que supuestamente no deberían ser mostrados….
NO IMPLICA:
– vulnerar medidas de seguridad
– introducirse en sistemas de manera no legítima
– ningun tipo de ataque… una petición GET a un servidor web para unicamente extraer datos no puede ser considerado un ataque…. para eso están los servidores web, para que tú le hagas un GET y ellos te devuelvan datos….. si la plataforma falla al hacer el GET, no es responsabilidad del visitante, que ya verá si documenta dicho fallo al webmaster o no.
8 de marzo de 2010 en 12:42
AndrÃ©s dijo:
samuel, no habia leido tu frase final de -â?A dÃ­a de hoy, el problema ya ha sido reparado y se ha modificado la forma de acceso al sistema. Y NO, no dejÃ© ningÃºn programa varios dÃ­as para obtener toda la informaciÃ³n del SPEE, es una advertencia/broma al lector para sensibilizarlo con el problema: no lo hice pero cualquiera podrÃ­a haberlo hechoâ?-. La pones en letrita tan clarita que parce que la has aÃ±adido despuÃ©sâ¦ mÃ¡s para solventar el problema de reconocer que te has hackeado al SPEE. AsÃ­ que, para recabar los nÃºmeros no dejaste el programita varios dÃ­as generando nÃºmeritos de DNI, es una âlicencia literariaâ? (o.. no, te basto con tenerlo puesto unas horas para recoger datos de varios dnis entre una franja determinada de nÃºmerosâ¦ para verificar que el âagujeroâ? estaba; utilizar los mismos para entrar en el sistema, conocer la informaciÃ³n âprivadaâ? de esas personas, a las que igual no les hace (no nos hace) gracia que alguien acceda a la misma).
Los que me conocen saben perfectamente que no me dedico a asaltar ninguna base de datos. A la pregunta Â¿cÃ³mo obtuve los DNIs vÃ¡lidos para probar el fallo y demostrarlo? Si te lees la resoluciÃ³n lo verÃ¡s claro, pero te lo digo yo y lo pruebas tÃº mismo: vete a la direcciÃ³n que indicaba, a la que enlazan las palabras «una vez allÃ­» del artÃ­culo principal; ahora prueba a meter un DNI con la letra, y pueden pasar dos cosas: a) que te diga «el identificador de demanda no es vÃ¡lido», o b) que no te de ningÃºn error y pases a la siguiente ventana. Si ocurre lo segundo, ya tienes un DNI vÃ¡lido. Lo que hice para la «prueba de concepto» fue generar 10 nÃºmeros de DNI secuenciales, digamos, entre el 0000001 y el 0000010, luego pones esos DNIs donde te he dicho y si no sale error, pues ya tienes DNIs vÃ¡lido para el SPEE. Si lees la resoluciÃ³n salen todos los detalles sobre este asunto.
8 de marzo de 2010 en 12:45
Sí Pepe, y en la Administración hay también muchos servicios que funcionan así, y seguirán funcionando hasta que pase algo con la información o alguien lo denuncie.
8 de marzo de 2010 en 12:49
David González Calleja dijo:
Yo le habría dado otro enfoque, pero no soy periodista 😉
Pingback: Un fallo de seguridad compromete los datos de millones de españoles « Seguridad en internet
8 de marzo de 2010 en 14:32
feanorknd dijo:
A AndrÃ©sâ¦
Hacer un script bash o âprogramitaâ? y dejarlo corriendo para vÃ­a GET, extraer de la web pÃºblica datos confidenciales que supuestamente no deberÃ­an ser mostradosâ¦.
– introducirse en sistemas de manera no legÃ­tima
– ningun tipo de ataqueâ¦ una peticiÃ³n GET a un servidor web para unicamente extraer datos no puede ser considerado un ataqueâ¦. para eso estÃ¡n los servidores web, para que tÃº le hagas un GET y ellos te devuelvan datosâ¦.. si la plataforma falla al hacer el GET, no es responsabilidad del visitante, que ya verÃ¡ si documenta dicho fallo al webmaster o no.
Efectivamente. El problema es que los jueces no entienden esta parte. Y muchos «tÃ©cnicos» tampoco lo entienden o se hacen los locos y no quieren entenderlo. Si yo empleo el protocolo HTTP siguiendo las RFC’s y el servidor que recibe la peticiÃ³n lÃ­cita revienta o le da por devolverme datos que no debiera, no es problema mio. Entre esto y un ataque donde se requieren conocimientos especializados y mala leche, hay un abismo. No es lo mismo descubir un problema de gestiÃ³n de memoria cuya explotaciÃ³n requiere de depuraciÃ³n y avanzados conocimientos de seguridad, que enviar una peticiÃ³n HTTP (GET, POST, o lo que sea) y que el servidor devuelva lo que no debe… Ese es un problema de diseÃ±o de alto nivel, facilmente detectable en cualquier auditorÃ­a e injustificable que se encuentre en un servicio web de esas caracterÃ­sticas. Lo que deberÃ­a hacer las AAPP afectadas es tomarse en serio la seguridad, cosa que a dia de hoy no hacen. Llevo mÃ¡s de 15 aÃ±os auditando sistemas y sigo viendo como suceden estas cosas y otras peores que no salen en los periÃ³dicos.
Â¿Os preocupa que se pueda acceder a informaciÃ³n de ciudadanos? Probad a investigar sobre el DNIe y lo que se puede hacer con Ã©l o con el de un PC comprometido…Â
ayudawindows7.com dice:
8 de marzo de 2010 en 16:37
Desde mi punto de vista que trabajo para la administracion el mayor problema es la falta de compromiso que empresas externas tienen para con los trabajos que realizan, si la persona que forma parte de la organizacion hace una cosa se compromete porque sabe que mañana tendra que mantenerla el, pero claro cuando la organizacion crece, entre los sacacuartos y los parasitos puestos a dedo… pasan este tipo de cosas
Otro ingeniero dice:
8 de marzo de 2010 en 16:54
De vergüenza. Especialmente las justificaciones tan peregrinas que dan. Ya sabes, «como tienes página web», eres un experto informático.
¿Soy el único al que esto recuerda sospechosamente al «gran crackeo» que hicieron de los resultados del ine… accediendo directamente a los pdf unos días antes? También dijeron que habían atacado al servidor…
Resulta absurdo considerar que es «intrusión informática» leer un archivo que publicaron ellos en la web, pero ¿hay jurisprudencia al respecto, o realmente presentar tal acusación?
Andrés, es interesante lo que comentas del uso de tu DNI. Yo diría que si acerté con tu DNI generando una lista de números, no estaría haciendo uso de tu dato personal, al contrario que si lo tomara sabiendo que es tu dni. ¿Qué opináis los demás?
Lo que sí tengo claro es que la lista de números que sacó Samuel no fue del 0000001 al 0000010, que corresponden a Franco y al rey Juan Carlos respectivamente. No sé si los del rango están sin asignar, o pertenecen a otros miembros de la Casa Real, pero en cualquiera de los casos, veo improbable que estuvieran inscritos en el INEM 😉
8 de marzo de 2010 en 18:23
Me dejas boquiabierto Samuel. Mil gracias por esto.
8 de marzo de 2010 en 19:18
Â¿Has investigado el sistema del SPEE red trabaja?
A simple vista permite darte de alta 1 o varios currÃ­culums sin ningÃºn tipo de autenticaciÃ³n desde la propia web. Vamos, que se puede dar de alta datos ficiticios de otras personas simplemente con contenidos que no pasan ningÃºn tipo de filtro inicial, al menos. Y, para mÃ­ lo peor es que desde una pÃ¡gina web del SEPE se ofrece un modo de intermediar paralelo al que gestionan los SPE autonÃ³micos competentes y que entra en competencia con los mismos, que se inspira en los utilizados por las bolsas de empleo virtuales privadas (Infojobs, monsterâ¦) y que adolece de los mismos defectos que Ã©stas desde la Ã³ptica de un servicio pÃºblico de empleo, que:
1.-	debe servir al cumplimiento de los fines del sistema nacional de empleo: principio de igualdad en el acceso al empleo y no discriminaciÃ³n; asegurar la unidad del mercado de trabajo en el territorio espaÃ±ol (art. 6.1.c y f y de la Ley BÃ¡sica de Empleo) (tambiÃ©n art. 22.2 LBE: principio bÃ¡sicos de la intermediaciÃ³n de los servicios pÃºblicos de empleo). Con esta red se favorece con recursos pÃºblicos el aumento de las oportunidades de aquellos demandantes mÃ¡s dotados para el uso de la autocandidatura en detrimento de los menos dotados (que suelen ser los que tienen mayores dificultades de inserciÃ³n laboral).
2-	debe estar inspirado en los principios de organizaciÃ³n y funcionamiento de dicho Sistema Nacional de Empleo: Transparencia en el funcionamiento del mercado de trabajo, teniendo en cuenta la integraciÃ³n, compatibilidad y coordinaciÃ³n de los sistemas de informaciÃ³n (art. .8.2 LBE); atenciÃ³n personalizada y especializada a demandantes de empleo y a empresas (art. 8.4 LBE). En el alta del usuario y elaboraciÃ³n de la autocandidatura y posterior inscripciÃ³n en las ofertas no se puede garantizar la transparencia y mucho menos la integraciÃ³n con las ofertas âSISPEâ?: en lugar de personas y empresas âverificadasâ? se gestionan âusuarios virtualesâ? cuyos datos identificativos no se contrastan de ninguna manera.
3.-No debe renunciar a la funciÃ³n de IntervenciÃ³n en los diferentes subprocesos que forman parte de la intermediaciÃ³n laboral: (art. 22.3 LBE: âCon el fÃ­n de asegurar el cumplimiento de los citados principios, los servicios pÃºblicos de empleo garantizarÃ¡n que el proceso especÃ­fico de selecciÃ³n y casaciÃ³n entre oferta de trabajo y demanda de empleo corresponde , con carÃ¡cter general, al servicio pÃºblico de empleo y a las agencias de colocaciÃ³n debidamente autorizadasâ?).
8 de marzo de 2010 en 21:18
Ciudadano: una excelente apreciación y deduzco que no ha surgido ni hoy ni ayer, sino que ya lo tenias meditado de antes. En efecto estoy observando Red Trabaja; esto que me has contado no lo había tenido en cuenta, pero ¿qué opinas tú eso de que sólo con saber el DNI y el teléfono de una persona se pueda acceder, por ejemplo, a conocer lo que cobra cada mes de paro y a qué cuenta corriente se lo ingresan? Desde Red Trabaja es posible 😉 ¿denuncio también esto o me tomarán por un pesado obsesionado? 😉
8 de marzo de 2010 en 21:37
Habría que denunciar. Lo que no sé entonces es para qué utilizan entonces los certificados digitales.
Pingback: Un fallo de seguridad compromete los datos de millones de españoles (meneame) | BlogUniverso
9 de marzo de 2010 en 20:53
Voy a contar un caso similar ocurrido en AndalucÃ­a. Trabajo para la ConsejerÃ­a de EducaciÃ³n y, por un simple error de un compaÃ±ero, caÃ­ en la cuenta de que el sistema permitÃ­a usar la misma expresiÃ³n como usuario y contraseÃ±a. El Ãºnico requisito exigido en ambas es que contuviesen caracteres alfabÃ©ticos y numÃ©ricos. Por entonces estÃ¡bmos a finales de 2007. SeÃ±alar tambiÃ©n que la aplicaciÃ³n es accesible desde cualquier ordenador a travÃ©s de internet y no sÃ³lo en la intranet corporativa.
El paso siguiente era obvio: coger un nombre, aÃ±adirle dos cifras del aÃ±o de nacimiento y usar la misma expresiÃ³n como user y pass (pepe60-pepe60, carmen61-carmen61,….). AsÃ­, con cinco o seis nombres comunes combinados con los aÃ±os de nacimiento de gente en activo por su edad (50-85) se podÃ­a acceder a docenas de cuentas, desde un maestro de primaria a un jefe de negociado, pasando por directores de institutos, psicÃ³logos, etc. Por ejemplo, como maestro podÃ­a haber modificado todas las notas de ese colegio, como director de instituto podÃ­a haber dado de baja a todo el alumnado, como psicÃ³logo podÃ­a acceder a datos mÃ©dicos y psiquicos de multitud de chavales con problemas,… Finalmente accedÃ­ a la cuenta Â¡de la persona encargada de asignar los distintos perfiles! con lo que yo me podÃ­a asignar privilegios de jefe de negociado e incluso de delegado provincial.
No voy a extendeme mucho en lo siguiente.
NotifiquÃ© la incidencia a todos mis superiores incluida la delegada provincial en persona, por telÃ©fono, por escrito y personalmente. Todo ello acompaÃ±ado con sus correspondientes capturas de pantalla y datos de cuentas accesibles.
Y aquÃ­ llega lo que realmente me jodiÃ³: prÃ¡cticamente todos escurrÃ­an el bulto culpando a los usuarios de la poca fortaleza de las contraseÃ±as. Sin eludir la responsabilidad de cada usuario, intentÃ© por todos los medios argumentarles que el responsable Ãºltimo y principal de ese fallo de seguridad es quien diseÃ±a un sistema que permite esas contraseÃ±as.
Ante las largas que me daban y que no se tomaban medidas, presentÃ© una queja ante el Defensor del Pueblo Andaluz, admitida a trÃ¡mite en abril de 2008.
Tras un aÃ±o de requerimientos, la ConsejerÃ­a se dignÃ³ contestarle al Defensor en marzo de 2009 con explicaciones tales como:
– «Todos los empleados quedarÃ¡n registrados…»
Y LA NIEVE ES FRÃ?A Y EL AGUA MOJA.
– «…serÃ¡n responsables de mantener su confidencialidad y asegurar su correcto uso.»
– «EstÃ¡ siendo distribuida una GuÃ­a de buenas prÃ¡cticas para la gestiÃ³n de contraseÃ±as…»
A MÃ? ME LLEGÃ COMO SEIS MESES MÃ?S TARDE, CUANDO POR FIN SE HABÃ?A SOLUCIONADO EL PROBLEMA.
– «Se estÃ¡ preparando la ediciÃ³n del libro GuÃ­a de ProtecciÃ³n de Datos de CarÃ¡cter Personal para los Centros de EnseÃ±anza…»
ESTE NO RECUERDO HABERLO VISTO.
– «Se vienen realizando cursos de jornadas de concienciaciÃ³n en materia de ProtecciÃ³n de Datos entre los empleados.»
DE ESTOS SÃ? ESTOY SEGURO, NUNCA TUVE NOTICIAS DE ELLOS.
– «Existe un Plan Formativo en formato e-learning sobre ProtecciÃ³n de Datos…»
ME ENTERÃ DE ELLO POR ESTA RESPUESTA…
POR FIN, CASI AL FINAL, APARECE LO SIGUIENTE:
«Consciente de su responsabilidad en la adopciÃ³n de buenas prÃ¡cticas de seguridad en el desarrollo de (sic) sistema de informaciÃ³n, y en lÃ­nea con lo establecido el (sic) Plan Director de Seguridad, la ConsejerÃ­a estÃ¡ recopilando requisitos para modificar el cÃ³digo de la aplicaciÃ³n en sus mÃ³dulos de aprovisionamiento, autentificaciÃ³n, autorizaciÃ³n y registro de actividad de usuarios. Las mejoras que se tiene previsto implementar incluyen, entre otras, las siguientes:
– Chequeos de robustez
– Caducidad (nueve meses)
– HistÃ³rico de contraseÃ±as: no se podrÃ¡ usar una de las Ãºltimas ya usadas»
AÃºn asÃ­, en esa fecha, tras mÃ¡s de aÃ±o y medio de mi primera comunicaciÃ³n, las cosas seguÃ­an exactamente igual y cualquier adolescente con un poco de tiempo libre y una simple pizca de imaginaciÃ³n podÃ­a haber regalado un aprobado general en varios institutos andaluces.
A finales de 2009, por fin, ya se han implementado dichas medidas y no es posible usar el nombre de usuario como contraseÃ±a. Por ello, ya puedo decirlo tranquilamente, porque hasta entonces me abstuve lÃ³gicamente de comentarlo a gente que no fuesen responsables de los servicios.
En definitiva, durante aÃ±os, miles de datos personales de los chavales andaluces han estado disponibles para cualquiera con una conexiÃ³n a internet y desde mi primera comunicaciÃ³n han tardado dos aÃ±os en solucionar el problema. Y no sÃ³lo eso, sino que nadie se molestÃ³ en avisar a aquellos cuyas cuentas estaban comprometidas. Al principio localicÃ© a algunos y les comuniquÃ© el hecho, ante su sorpresa, pero no podÃ­a pasarme el dÃ­a colgado de un telÃ©fono explicando a desconocidos que habÃ­a entrado en su cuenta.
Por Ãºltimo, no espero agradecimiento, pues entiendo que era mi obligaciÃ³n. Pero aÃºn estoy esperando, al menos, una disculpa.
9 de marzo de 2010 en 23:42
Hola Paco. Me identifico plenamente contigo: nadie nos escucha ni nos toman en serio hasta que tenemos que poner el asunto en conocimiento de organismos competentes o hasta que algún adolescente con imaginación se hubiera puesto a liarla por ese sistema, entonces sí que se habrían tomado en serio el problema; es habitual en este pais no adoptar las medidas de seguridad ANTES de que suceda el accidente incluso habiéndose advertido a sus responsables 🙁
10 de marzo de 2010 en 11:49
Hola Samuel, te felicito por tu actuación.
Trabajo en la administración pública y se lo lento que va todo para resolver cualquier incidente. De todas formas, se acaba de publicar el Esquema Nacional de Seguridad que si se pone en práctica (?) limitará en gran medida todos estos problemas para la administración pública aunque el ENS, al igual que la LOPD no incluye sanciones por incumplimiento a la administración, pero a los técnicos nos sirve como justificación para que se tomen las medidas adecuadas.
10 de marzo de 2010 en 18:40
En relaciÃ³n al Esquema Nacional de seguridad que comenta xavi:
Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el Ã¡mbito de la AdministraciÃ³n ElectrÃ³nica (BOE 29 de enero de 2010)
DisposiciÃ³n adicional cuarta. ModificaciÃ³n del Reglamento de desarrollo de la Ley OrgÃ¡nica 15/1999, de ProtecciÃ³n de Datos de CarÃ¡cter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre.
Se modifica la letra b) del apartado 5 del artÃ­culo 81 del Reglamento de desarrollo de la Ley OrgÃ¡nica 15/1999, de 13 de diciembre, de ProtecciÃ³n de Datos de CarÃ¡cter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que pasa a tener la siguiente redacciÃ³n:
Â«b) Se trate de ficheros o tratamientos en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relaciÃ³n con su finalidad.Â»
En la redacciÃ³n anterior decÃ­a: Â«b) Se trate de ficheros o tratamientos no automatizados en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relaciÃ³n con su finalidad.Â». Por lo tanto se equipara en cuanto a niveles de seguridad exigible a ficheros con datos especialmente protegidos en la LOPD a los que hace referencia el apartado 5 del art. 81 del Reglamento (datos de ideologÃ­a, afiliaciÃ³n sindical, religiÃ³n, creencias, origen racial, salud o vida sexual) a los ficheros tanto automatizados como no automatizados (ahora bastarÃ¡ con cumplir el nivel bÃ¡sico de seguridad en ambos casos).
Y yo me pregunto: Â¿tiene algÃºn sentido rebajar la protecciÃ³n de datos objetivamente sensibles con el argumento de que los datos âno tienen relaciÃ³n con su finalidadâ? pero son âaccesoriosâ??Â¿Y si no tienen relaciÃ³n con su finalidad, no es ello en sÃ­ mismo una vulneraciÃ³n del principio de calidad de datos que pretende preservar la propia LOPD?:
âLey OrgÃ¡nica 15/1999, de 13 de diciembre
ArtÃ­culo 4. Calidad de los datos.
1. Los datos de carÃ¡cter personal sÃ³lo se podrÃ¡n recoger para su tratamiento, asÃ­ como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relaciÃ³n con el Ã¡mbito y las finalidades determinadas, explÃ­citas y legÃ­timas para las que se hayan obtenido.â?
Â¿Dicha modificaciÃ³n afecta Ãºnicamente a los ficheros de las administraciones pÃºblicas incluÃ­das en el Ã¡mbito de aplicaciÃ³n del art. 3 del Real Decreto 3/2010 (o sea las del artÃ­culo 2 de la Ley 11/2007, de 22 de junio de acceso electrÃ³nico de los ciudadanos a los Servicios PÃºblicos), o tambiÃ©n a los ficheros privados?
Â¿no es esto muy, muy, muy raro?
11 de marzo de 2010 en 08:12
Creo que sería muchísimo más fácil y demostrarían muchísima más celeridad, si las Administraciones públicas fuesen sancionadas económicamente y no sólo amonestadas.
11 de marzo de 2010 en 08:14
Pablo, aunque en base tendrías razón, date cuenta de que el presupuesto de la admon publica sale de ti y de mí, y si le recortas presupuesto a cualquier organismo público tendrán la excusa perfecta para funcionar peor.
purpura9 dice:
11 de marzo de 2010 en 12:02
Enhorabuena por tu trabajo y por tu iniciativa. Yo trabajo en una empresa de seguridad informÃ¡tica y veo todos los dÃ­as una falta de conocimiento y de interÃ©s amplia por parte de muchas empresas. Veo que tambiÃ©n pasa con las administraciones pÃºblicas, por supuesto. En lugar de reconocer su error casi te llaman hacker y entrometido. Como dice un comentario anterior, esto sÃ³lo puede pasar en EspaÃ±a. Ã?nimo y sigue como hasta ahora!
12 de marzo de 2010 en 12:02
«Un fallo de seguridad» de más de un año no es un fallo, sino manifiesta negligencia e imprudencia. En cuanto a la posibilidad de sanciones a una Administración Pública, la Agencia Española de Protección de Datos acaba de sancionar a la Delegación de Pontevedra de la Consellería de Educación por revelación de datos personales de salud.
12 de marzo de 2010 en 12:44
La Agencia ha declarado la infracción pero, como no podía ser de otra manera, no ha habido sanción económica.
12 de marzo de 2010 en 19:48
Alejandro, así para la Administración parece que es opcional cumplir la protección de datos o no. Es una cuestión de responsabilidad. Si una organización sin ánimo de lucro (y depende de como, un particular) no cumple, dinerito contante y sonante, y si la Administración no cumple, ¿no? Me temo que se puede hacer mucho más daño en el segundo caso que en el primero (de hecho estoy convencido de que en muchos casos es así), y las sanciones deben ser un motivo para cumplir la normativa. Que tenemos que cumplir todos.
12 de marzo de 2010 en 20:16
No, no has captado mi sutil matiz. Me refiero a que la admon. no tiene objetivos y la productividad en los mandos bajos, medios y altos depende de las horas dedicadas, no del trabajo sacado adelante o su calidad. Una cosa así para una empresa privada sería un gran varapalo, que en el mejor de los casos supondría ser el hazmerreír del sector durante un tiempo y en el peor, su final.
Pingback: Blog novizny: ÐÐ°ÐºÑÑ?ÐºÐ¸ Ð¡Ð¾Ð²ÑÐµÐ¼ÐµÐ½Ð½Ð¾Ñ?ÑÐ¸ (106-Ð¾Ð¹)
Pingback: Blog der Neuheiten: Bissen der Gegenwart (106.)
Pingback: Innovations Blog: Morsels of Actuality (106th)
15 de marzo de 2010 en 11:17
Por lo visto, está claro que la Administración tiene mas fácil incumplir las leyes que los ciudadanos a los que supuestamente ha de servir, y que no parece buen negocio sancionarla dado que al final el pato lo acabamos pagando los contribuyentes, saliendo los verdaderos responsables «de rositas».
Sin embargo, no me he terminado de enterar si en el caso denunciado por Samuel (o en otros que alguno conozca) se ha utilizado la posibilidad prevista en la LOPD de que en la Resolución Sancionadora el Director de la Agencia propongo la iniciación de actuaciones disciplinarias. Y también quiero que opinéis sobre si no os parece a todas luces injustificado utilizar el término «podrá proponer» del art. 46.2 de la LOPD asociado a una situación en que recae una resolución en que se declare una infraccción de la normativa de protección de datos, en lugar del «deberá proponer» (¿o no somos todos los ciudadanos iguales ante la ley?).
Pingback: La base de datos de parados en España, al descubierto | Guías Informáticas
6 de abril de 2010 en 12:13
Kialaya dijo:
Quisiera puntualizar que no es mi deseo molestar a nadie con lo de que âel que dice que eso es un hackeo no es por nada pero de informÃ¡tica mucha idea no tieneâ?. Yo misma no tengo grandes conocimientos de informÃ¡tica, programaciÃ³n ni redes, muchÃ­simo menos para âhackearâ? ningÃºn sistema pero lo que describe este seÃ±or en su blog es sencillamente sustituir unos nÃºmeros por otros en una direcciÃ³n URL del navegador. Dudo que eso se pueda considerar âhackearâ? un sistema de cualquiera de las maneras. Y el programita que hizo sÃ³lo automatizaba dicho proceso por lo que le he entendido, no hacÃ­a nada mÃ¡s realmente. Releyendo mi anterior comentario he querido mencionar esto antes de que a alguien le molestase.
Sorprende que se estÃ© manipulando descaradamente el uso de tÃ©cnicas de hacking, en este caso, muy bÃ¡sicas, para justificar la negligencia de los que han construido la web.
24 de abril de 2010 en 02:34
Cambiar la URL no es tÃ©cnica de hacking. Para eso no hace falta haber ido a ningun curso de informatica, eso lo sabe hasta un niÃ±o de 10 aÃ±os.
24 de abril de 2010 en 02:47
Samuel, estaba leyendo esto:
http://www.iuriscivilis.com/2010/04/proteccion-de-datos-personales-iberia.html
y me acordé de ti. Recuerdo haber contado aquí que un inspector me habia dicho que el DS era ley para la empresa. Me respondiste que las medidas de seguridad eran finalistas (deber de resultado), segun ha manifestado reiteradamente la AN. Yo me quedé con la idea de preguntarlo en alguna inspección a la que asistiese posteriormente, pero la verdad es que se me olvidó.
Y leo en el artículo citado que dice el TS:
“debe adoptar las medidas de seguridad a que se refiere el citado RD, entre las que destaca el documento de seguridad a que alude el artículo 8 del mentado Reglamento, del que en la demanda -hecho séptimo- se reconoce que se carece. Omisión que, como se razona en la resolución recurrida, resulta trascendente por cuanto dicho documento es de obligado cumplimiento para el personal con acceso a los datos»
25 de abril de 2010 en 15:19
Hola Pit. Sí, yo también recuerdo esos comentarios que nos cruzamos, pero no es incompatible una cosa con la otra ¿no?
7 de mayo de 2010 en 18:16
Lo que está claro es que ni las administraciones o empresas públicas dan ejemplo en el cumplimiento de la Ley. La diferencia está en que, a veces, no reciben el mismo trato que las privadas, o, en ocasiones, saben como salir mejor parados de las sanciones. En esto como en todo, hay rangos superiores e inferiores….
Pingback: La web de la DGT permite conocer los sancionados por multas de tráfico | Proteccion de Datos - Ley de Proteccion de Datos - LOPD
la cabra dice:
19 de octubre de 2010 en 01:40
PUF.MIEDO ME DA. Con decirte que si entras en cualquier página estatal , por ejemplo esta https://www.citapreviadnie.es/ desde mozilla firefox te sale este mensaje de bien benida.Como para fiarse de ellos.
Ha pedido a Firefox que se conecte de forma segura a http://www.citapreviadnie.es, pero no se puede confirmar que la conexión sea segura.
http://www.citapreviadnie.es usa un certificado de seguridad no válido.
No se confía en el certificado porque no se confía en el certificado emisor.
(Código de error: sec_error_untrusted_issuer)
Entiendo los riesgos
21 de octubre de 2010 en 00:16
Llevan dos años y medio gestionándose.
Puedes ver el proceso (y las demoras) en https://bugzilla.mozilla.org/show_bug.cgi?id=435736
Lo que realmente da miedo es que da la impresión de que no tengan conciencia de su importancia.
Ciberseguro dice:
18 de mayo de 2016 en 00:24
Con respecto al primer comentario:
Sinceramente este país está lleno de retrógrados, analfabetos digitales por no decir también anaógicos y demás «cosas» que podrían ser nombradas.
Decir que este señor atentó contra la seguridad de la administración por hacer un sencillo programita que automatizaba el proceso de obtención de los datos personales de varios ciudadanos.
Decirle a este tipo de «personas ignorantes» que no tienen ni repajorela idea de en qué consiste precisamente la seguridad informática. Que es la disciplina que se trata en este asunto. Y mucho menos de lo que es hacking ético.
Además el que se dedica a la Seguridad Informática tiene por haber interiorizado en su proceso formativo un código deontológico de conducta. Claro que qué significa eso para determinadas personas…
Por gente como esta España sigue sumida en los viejos prejuicios que fueron inculcados en la dictadura; y ente otras cosas y debido también a la «filosofía del mandado» se fomenta que se permitan por parte de las administraciones públicas ilegalidades y «locuras administrativas» sin base a ley ni coherencia. Y que poco tienen que ver con esa supuesta buena voluntad, transparencia y servidumbre al ciudadano de parte de estas como particularmente de su muchas veces «indeseable personal».
Te felicito por tu web y sigue así, que el país necesita a verdadera gente especializada en cualquier rama de la vida.

References: Resolución 
 artículo 9
 Resolución 
 resolución 

Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Resolución 
 resolución 
 artículo 8
 resolución