Movistar ha comenzado a enviar cartas a clientes afectados por su agujero de seguridad en las que deja claro que cuando se entró en sus facturas fue "aparentemente con la única finalidad de dejar constancia de la vulnerabilidad de esta funcionalidad".

En estas misivas, Movistar reconoce el "incidente de seguridad relacionado con la factura interactiva" e informa de que el incidente ya ha sido solucionado. Sin embargo, la compañía hace un notable esfuerzo de transparencia en el que se relata lo sucedido y los pasos que se dieron para proteger al cliente, "reafirmando nuestro compromiso en mantener unos claros principios y valores de privacidad".

Aunque la información le llegó a Telefónica a través de un directivo que se puso en contacto con la organización de consumidores Facua tras leer un tuit de la misma, la operadora no da tantos detalles.

Se limita a reconocer que tuvo conocimiento de una vulnerabilidad que afectaba a la funcionalidad de la factura interactiva disponible en el área privada de la página web de Movistar, a la que se accede introduciendo identificador y contraseña.

"Concretamente se detecta que una vez que el cliente se ha identificado con sus credenciales, podía alterarse de forma intencionada el código que da acceso directo a la factura, permitiendo el acceso, en caso de que el código fuera válido, a otras facturas que podían ser de otros clientes", explica el grupo.

Esto activó "de forma inmediata" el protocolo de seguridad de Movistar para este tipo de incidencias, procediéndose sin dilación a corregir la vulnerabilidad, la cual quedó resuelta en unas horas, así como a analizar todos los accesos realizados con el fin de valorar el impacto real y determinar los clientes afectados".

La compañía, en una carta a la que tuvo acceso El Español, reconoce a una clienta que fue  una de las clientes a cuya factura se accedió "puntual y aparentemente con la única finalidad de dejar constancia de la vulnerabilidad de esta funcionalidad". Asimismo, informa de cuál fue, concretamente, la factura a la que se accedió.

"Dicho lo anterior, no tenemos evidencias de que se haya realizado ningún tipo de explotación adicional de sus datos personales. No obstante, le mantendríamos informado de cualquier novedad al respecto", subraya.

El proceso fue, exactamente, el siguiente:

- Se activó el protocolo de seguridad previsto para este tipo de incidentes con el fin de investigar y adoptar las medidas necesarias.
- Se procedió a realizar un análisis manual de vulnerabilidades por parte del equipo de seguridad de Movistar.
- Se cambió la configuración deshabilitando la factura interactiva.
- Se implementó la actualización del sistema para reestablecer el servicio.
- En los plazos previstos en la legislación vigente, se ha puesto este hecho en conocimiento de la Agencia Española de Protección de Datos.

La compañía afirma que el cliente no tiene que hacer nada más para poder seguir usando el servicio y ofrece la posibilidad de contactar con ella a través del Delegado de Protección de Datos de Movistar.

Según fuentes próximas a la situación, es más que posible que todos los afectados por la incidencia lo fueran en el marco de las comprobaciones efectuadas por la asociación de consumidores Facua para certificar la existencia de la incidencia antes de transmitírsela a Movistar. La procedencia geográfica de los clientes afectados y el hecho de que Facua tenga sede en Sevilla respaldan dicha tesis.

Al menos algo bueno parece haber salido de esto: operadora y asociación de consumidores, que han mantenido en el pasado una tensión considerable, han empezado a dar los primeros pasos para intentar buscar un marco de colaboración y cooperación más leal por ambas partes.