La policía y las agencias federales están investigando una filtración masiva de datos personales vinculada a un sistema de reconocimiento facial que se aplicó en bares y clubes de toda Australia. El incidente pone de manifiesto los problemas de privacidad que están surgiendo a medida que se amplía el uso del reconocimiento facial con base en inteligencia artificial (IA).
La empresa afectada es Outabox, con sede en Australia, que también tiene oficinas en Estados Unidos y Filipinas. En respuesta a la pandemia de Covid-19, Outabox estrenó un puesto de reconocimiento facial que escaneaba a los visitantes y comprobaba su temperatura. Los puestos también pueden utilizarse para identificar a los jugadores problemáticos que se inscribieron en una iniciativa de autoexclusión.
En mayo apareció un sitio web llamado Have I Been Outaboxed, que asegura haber sido creado por antiguos desarrolladores de Outabox en Filipinas, y tener más de un millón de registros. El sitio pide a los visitantes que introduzcan su nombre para comprobar si su información ha sido incluida en una base de datos de Outabox, que, según el sitio, tenía controles internos laxos y se compartía en una hoja de cálculo no segura.
El incidente indignó a los expertos en privacidad, quienes desde hace tiempo han hecho saltar las alarmas sobre el uso de sistemas de reconocimiento facial en espacios públicos como clubes y casinos.
“Lamentablemente, este es un ejemplo horrible de lo que puede ocurrir si se implantan sistemas de reconocimiento facial que invaden la privacidad”, explicó al sitio WIRED Samantha Floreani, responsable de políticas de la organización sin fines de lucro Digital Rights Watch, con sede en Australia, dedicada a la privacidad y la seguridad. “Cuando los defensores de la privacidad advierten de los riesgos asociados a sistemas con base en la vigilancia como este, las violaciones de datos son uno de ellos”.
De acuerdo con el sitio, los datos incluyen “reconocimiento facial biométrico, escaneado de la licencia de conducir, firma, datos de afiliación al club, dirección, cumpleaños, número de teléfono, marcas de tiempo de visita al club, uso de máquinas tragamonedas”. Y apunta a que Outabox exportó todos los datos de afiliación de IGT, proveedor de máquinas de juego. El vicepresidente de comunicaciones globales de IGT, Phil O’Shaughnessy, declaró al medio que, “los datos afectados por este incidente no han sido obtenidos de IGT”, y que la empresa colaboraría con Outabox y las fuerzas de seguridad.
Los propietarios del sitio publicaron una foto, una firma y un permiso de conducir pertenecientes a uno de los fundadores de Outabox, así como una captura de pantalla de la supuesta hoja de cálculo interna. WIRED no pudo verificar de forma independiente la identidad de los propietarios del sitio web ni la autenticidad de los datos que decían tener. El correo electrónico enviado a una dirección del sitio web no fue contestado.
“Outabox es consciente y está respondiendo a un incidente cibernético que potencialmente involucra alguna información personal. Hemos estado en comunicación con un grupo de nuestros clientes para informarles y delinear nuestra estrategia para responder. Debido a la investigación policial australiana en curso, no podemos proporcionar más información en este momento», indicó un portavoz a la prensa.
Investigaciones en curso
La Policía de Nueva Gales del Sur confirmó el miércoles a WIRED que estaba investigando una violación de datos, pero un portavoz declinó compartir más detalles. El jueves, la Policía anunció que, en colaboración con agencias federales y estatales, detuvo a un hombre anónimo de 46 años en un suburbio de Sydney. Se espera que sea acusado de chantaje.
Los clubes que utilizaban la tecnología de Outabox publicaron anuncios sobre el incidente y lo notificaron a sus clientes esta semana. Una persona que publicó una notificación de infracción de un club que visitó relató su experiencia con el sistema de reconocimiento facial. “Mi mejor recuerdo de este sistema es haber visitado un club y que el sistema emparejara mi cara con la de un socio que era claramente 20 años mayor que yo, y que no se parecía en nada a mí”, escribió en un post en X. El club no respondió a la solicitud de comentarios.
Have I Been Outaboxed, alega que Outabox dejó de pagar a sus desarrolladores en Filipinas. Las empresas de IA suelen emplear mano de obra barata en el extranjero, incluso en Filipinas, para alimentar sus sistemas. El sitio anima a cualquiera cuyos datos estén incluidos en la filtración a ponerse en contacto con las sedes y pedir que eliminen el sistema de Outabox. El sitio, que se creó la semana pasada según los registros en línea, incluye 19 locales. WIRED buscó en la base de datos a personalidades australianas, incluidos políticos, y obtuvo resultados redactados en los que figuraban sus nombres y los puestos a los que supuestamente habían acudido.
“Somos conscientes de la existencia de un sitio web malicioso con una serie de afirmaciones falsas diseñadas para dañar nuestro negocio y difamar a nuestro personal directivo. Creemos que esto está relacionado e instamos a la gente a no repetir información falsa y perjudicial para nuestra reputación”, declaró el portavoz de Outabox. La empresa declinó especificar qué afirmaciones son falsas, citando la investigación policial.
Una verdad a medias y un secreto a voces
No está claro hasta qué punto es cierta la historia que se cuenta en el sitio web, o si los autores tienen siquiera los datos biométricos que se reclaman. El experto australiano en ciberseguridad Troy Hunt, fundador del sitio web de notificación de filtraciones, Have I Been Pwned, expresó a WIRED que hay pocas razones para dudar de ello en este momento.
“No he visto ninguna razón para no tomar esto al pie de la letra, lo que significa que tienen exactamente lo que dicen que tienen”, sostiene Hunt. En sus publicaciones en X, Hunt especuló con la posibilidad de que la publicación del sitio web hubiera estado precedida de demandas que no se cumplieron, y que las acciones de los autores ahora aterrizan en el terreno de la criminalidad.
“La deslocalización es un debate confuso entre la legalidad de la soberanía de los datos, las deficiencias percibidas de la mano de obra extranjera y, francamente, una gran dosis de xenofobia. No es que unos desarrolladores australianos haciendo exactamente lo mismo hubieran hecho que esto estuviera bien», puntualiza Hunt.
Floreani, de Digital Rights Watch, opina que el incidente ilustra las “importantes consecuencias negativas” que pueden derivarse de la recopilación de datos biométricos sensibles. “Necesitamos una reforma audaz de la privacidad y limitaciones estrictas a la tecnología de reconocimiento facial. Como siempre, vigilancia no es seguridad», aclara.
