El denunciante de Twitter lleva las advertencias de seguridad al Congreso

Peiter “Mudge” Zatko, el denunciante de Twitter que está advirtiendo de los fallos de seguridad, las amenazas a la privacidad y los controles laxos en la plataforma social, llevará su caso al Congreso el martes.

Los senadores que escucharán el testimonio de Zatko ante el Comité Judicial del Senado están alarmados por sus acusaciones sobre Twitter en un momento de mayor preocupación por la seguridad de las poderosas plataformas tecnológicas.

Es la segunda comparecencia de Zatko en el Capitolio, y en cierto modo un eco del siglo XXI de su primera comparecencia. En 1998, testificó ante un panel del Senado junto con otros miembros de un colectivo de hackers que advirtieron sobre los peligros de seguridad de la entonces emergente era de Internet.

Zatko, un respetado experto en ciberseguridad, era el jefe de seguridad de Twitter hasta que fue despedido a principios de este año. Ha presentado las sorprendentes acusaciones ante el Congreso y los reguladores federales, afirmando que la influyente plataforma social engañó a los reguladores sobre sus ciberdefensas y sus esfuerzos para controlar millones de “spam” o cuentas falsas.

El senador Dick Durbin, el demócrata de Illinois que preside el panel, ha dicho que si las afirmaciones de Zatko son exactas, “pueden mostrar peligrosos riesgos para la privacidad de los datos y la seguridad de los usuarios de Twitter en todo el mundo.”

Las acusaciones de Zatko también entran en juego en la batalla del magnate multimillonario Elon Musk con Twitter. El CEO de Tesla está tratando de salirse de su oferta de 44.000 millones de dólares para comprar la compañía; Twitter ha demandado para obligarle a completar el acuerdo. El juez de Delaware que supervisa ese caso dictaminó la semana pasada que Musk puede incluir nuevas pruebas relacionadas con las acusaciones de Zatko en el juicio de alto riesgo que está previsto que comience el 17 de octubre.

La acusación de que Twitter se involucró en el engaño en su manejo de las cuentas automatizadas “spam bot” es el núcleo del intento de Musk para dar marcha atrás en el acuerdo de Twitter.

Al mismo tiempo, muchas de las afirmaciones de Zatko no están corroboradas y parecen tener poco apoyo documental. En un comunicado, Twitter ha calificado la descripción de los hechos de Zatko como “una narrativa falsa.”

También el martes, los accionistas de Twitter están programados para votar sobre la compra pendiente de la compañía por Musk. La votación es una especie de formalidad, dado que el acuerdo está en suspenso mientras se desarrolla el caso judicial. Pero si la medida se aprueba como se espera, también allanaría el camino para una adquisición por parte de Musk en caso de que Twitter prevalezca en los tribunales.

Zatko también presentó denuncias ante el Departamento de Justicia, la Comisión Federal de Comercio y la Comisión de Valores. Entre sus acusaciones más graves está la de que Twitter violó los términos de un acuerdo de la FTC de 2011 al afirmar falsamente que había puesto en marcha medidas más fuertes para proteger la seguridad y la privacidad de sus usuarios.

La SEC está cuestionando a Twitter sobre cómo cuenta las cuentas falsas en su plataforma. Twitter utiliza el recuento de sus usuarios, presuntamente reales, para atraer a los anunciantes, cuyos pagos representan alrededor del 90% de sus ingresos. Los “bots de spam” no tienen ningún valor para los anunciantes porque no hay ninguna persona detrás de ellos.

Twitter, con sede en San Francisco, tiene unos 238 millones de usuarios activos diarios en todo el mundo. La compañía dice que elimina un millón de cuentas de spam diariamente.

La denuncia de Zatko, de 84 páginas, alega que encontró “deficiencias extremas y atroces” en la plataforma, incluyendo problemas con “la privacidad de los usuarios, la seguridad digital y física, y la integridad de la plataforma/moderación del contenido.”

Acusa al consejero delegado Parag Agrawal y a otros altos ejecutivos y miembros del consejo de administración de hacer “declaraciones falsas y engañosas a los usuarios y a la FTC” sobre estos problemas. Twitter niega esas afirmaciones y dice que Zatko fue despedido en enero por “liderazgo ineficaz y mal rendimiento.” Los abogados de Zatko dicen que la afirmación sobre el rendimiento es falsa.

Twitter también insinuó que la queja de Zatko podría estar diseñada para reforzar la lucha legal de Musk con la compañía. Twitter calificó la queja de Zatko como “una narrativa falsa” que está “plagada de inconsistencias e inexactitudes, y carece de contexto importante.”

La noticia de la denuncia de Zatko salió a la luz el 23 de agosto, casi dos meses antes de que comience el juicio entre Twitter y Musk. . Uno de los abogados de Zatko ha dicho que “nunca ha conocido a Elon Musk. No conoce a Elon Musk. Conocen a gente en común”.

La compañía también dice que ha reforzado significativamente la seguridad desde 2020.

Entre las acusaciones específicas de Zatko:

– La compañía tenía una ciberseguridad tan pobre que fácilmente podría haber estado expuesta a ataques externos o intentos de desviar sus datos internos.

-La empresa carecía de un liderazgo eficaz, con sus altos ejecutivos practicando una “ignorancia deliberada” de los problemas urgentes. Zatko describió al ex director ejecutivo Jack Dorsey como “extremadamentedesvinculado” durante los últimos meses de su mandato, hasta el punto de que ni siquiera hablaba durante las reuniones sobre temas complejos. Dorsey dimitió en noviembre de 2021.

-Que Twitter permitió a sabiendas que el gobierno de la India colocara a sus agentes en la nómina de la empresa, donde tenían “acceso directo sin supervisión” a datos muy sensibles de los usuarios. Hace una acusación paralela, pero menos detallada, de que Twitter recibió financiación de entidades chinas no identificadas que podrían haber obtenido un acceso que les permitiera acceder a las identidades y los datos sensibles de los usuarios chinos que utilizan en secreto Twitter, que está oficialmente prohibido en China.

Más conocido por su apodo de hacker “Mudge”, Zatko, de 51 años, adquirió notoriedad por primera vez en la década de 1990. Fue el miembro más conocido del colectivo L0pht, con sede en Boston, que fue pionero en el hacking ético, poniendo en evidencia a empresas como Microsoft por su escasa seguridad. Su trabajo concienció al mundo de la informática y obligó a esas grandes empresas a tomarse en serio la seguridad. Fue cofundador de la consultora @Stake, que posteriormente fue adquirida por Symantec.

Zatko trabajó posteriormente en puestos de responsabilidad en la Agencia de Proyectos de Investigación Avanzada de Defensa del Pentágono y en Google. Se unió a Twitter a instancias de Dorsey a finales de 2020, el mismo año en que la empresa sufrió una embarazosa brecha de seguridad en la que participaron hackers que entraron en las cuentas de Twitter de líderes mundiales, celebridades y magnates de la tecnología, incluido Musk, en un intento de estafar a sus seguidores con bitcoins.

__

Los escritores de tecnología de AP Frank Bajak en Boston y Matt O’Brien en Providence, Rhode Island, contribuyeron a este informe.

__

Siga a Marcy Gordon en https://twitter.com/mgordonap