Samuel Parra

La web del banco Santander podría estar vulnerando el deber de secreto al revelar la identidad de sus clientes si se utiliza con picaresca el mecanismo que tiene configurado para recuperar la contraseña en caso de olvido.
Como efecto colateral, sería posible que un usuario mal intencionado bloquease el acceso a los clientes de la banca online del Santander.

Hace unas semanas analizábamos cómo era posible descubrir el saldo de una cuenta corriente en la Caja de Ahorros del Mediterráneo; hoy examinamos un típico caso de negligencia informática o una grave falta del deber de cuidado que una entidad como el Banco Santander Central Hispano (BSCH) debería tener con sus clientes.

Antes de comenzar es necesario aclarar alguna información para aquellos que no estén muy acostumbrados a navegar por Internet; la mayoría de las webs que disponen de un acceso privado a sus servicios (mediante la utilización de un usuario + contraseña) establecen un mecanismo automático para el caso de que el usuario o cliente haya olvidado su contraseña; cuando utilizamos esta opción el sistema comprobará nuestra identidad con algún dato que en principio sólo conozca el cliente y el propio sistema.
Esto es una buena herramienta, pero los problemas pueden surgir cuando nadie se preocupa de observar que el procedimiento, por lo menos, no vulnere la intimidad de los clientes, y este es el caso del BSCH.

Veamos qué hay que hacer para recuperar la contraseña de acceso como cliente del BSCH a través de su web:

1. Vamos a www.gruposantander.es
2. Pinchamos en ¿Olvidó sus claves? (imagen)
3. Ahora el sistema nos solicita información personal, en concreto por ejemplo el NIF (imagen). Hmmmm,  ¿por qué solicita el NIF?, debería solicitar el nombre de usuario de la web ¿no?… Efectivamente, está solicitando el nombre de usuario que a su vez es el NIF del cliente. Esto de por sí ya vulnera un principio básico de seguridad informática: no revelar nombres de usuarios válidos de acceso al sistema, lo cual tendrá graves consecuencias como veremos más adelante.

Estábamos en que nos pedía el NIF; pues bien, aquí está el problema. Si introducimos un NIF de un cliente del BSCH, se nos mostrará una pantalla en la que se solicitará información que en principio sólo conoce el titular de ese NIF (imagen), ¿pero qué pasa si el NIF no es de un cliente?, pues que el sistema nos invita a darnos de alta 🙂  (imagen)

Consecuencia: conociendo el NIF de una persona podremos saber si es o no cliente del BSCH, lo cual vulnera claramente el artículo 10 de la Ley Orgánica de Protección de Datos, que establece:

«El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos…»

Imaginemos que yo acudo a una sucursal del BSCH, y le pregunto a la cajera si me puede decir si una persona con el NIF número 123456 es cliente o no del banco; ¿Qué os imagináis que responderá la cajera?, pues algo del tipo «lo siento señor pero no puedo facilitarle esa información».
Pero ahora nos vamos a la web del banco, y probamos a recuperar la contraseña de un usuario con NIF 123456, al instante sabremos si esa persona es o no cliente del banco.

El NIF se considera dato de carácter personal (parece obvio pero no siempre ha sido así).

Pero las consecuencias de que el banco configure de forma predeterminada como nombre de usuario de acceso al sistema el NIF del cliente pueden ser aun más graves; imaginemos que un vándalo programa un script para ir comprobando miles de NIFs; al cabo de unos días tendrá bastantes miles de NIFs válidos.

Ahora el mismo usuario maligno intenta entrar al sistema con cada uno de esos nombres de usuarios (los NIFs), concretamente prueba 3 contraseñas erróneas; el problema está servido: el sistema bloquea automáticamente esa cuenta al tercer intento fallido de conexión (imagen), por lo que miles de clientes no podrán entrar a ver sus cuentas, realizas transferencias, etc… el servicio telefónico de atención al cliente batirá todos los records de llamadas ese día.

Podemos seguir imaginándonos escenarios posibles: la competencia del BSCH podrá conocer las empresas que son sus clientes, o el número de clientes empresas en una determinada Comunidad Autónoma…

En conclusión, que el sistema elija por ti el nombre de usuario de acceso, y que además ese nombre de usuario te vincule directamente y sea predecible, supone, además de las consecuencias legales, un grave problema de seguridad.