Críticas a Dropbox

La empresa estadounidense de almacenamiento en la nube y sincronización de archivos Dropbox Inc. ha tenido varias controversias relacionadas con la seguridad y la privacidad . Entre los problemas se incluyen un fallo de autenticación en junio de 2011 que permitió acceder a las cuentas durante varias horas sin contraseña; una actualización de la política de privacidad en julio de 2011 con un lenguaje que sugería que Dropbox era propietaria de los datos de los usuarios; preocupaciones sobre el acceso de los empleados de Dropbox a la información de los usuarios; correo basura en julio de 2012 que se repitió en febrero de 2013; documentos gubernamentales filtrados en junio de 2013 con información de que Dropbox estaba siendo considerada para su inclusión en el programa de vigilancia PRISM de la Agencia de Seguridad Nacional (NSA ); un comentario en julio de 2014 del informante de la NSA , Edward Snowden, criticando el cifrado de Dropbox; la filtración de 68 millones de contraseñas de cuentas en Internet en agosto de 2016; y un incidente de restauración accidental de datos en enero de 2017 en el que archivos supuestamente eliminados hace años reaparecieron en las cuentas de los usuarios.

Dropbox ha sido criticado por el investigador de seguridad independiente Derek Newton, quien escribió en abril de 2011 que Dropbox almacenaba la información de autenticación del usuario en un archivo en la computadora que era "completamente portátil y no estaba vinculado al sistema de ninguna manera". Al explicar el problema, Newton escribió: "Esto significa que si se obtiene acceso al archivo config.db de una persona (o solo al host_id), se obtiene acceso completo a la cuenta de Dropbox de esa persona hasta que elimine el host de la lista de dispositivos vinculados a través de la interfaz web de Dropbox". Actualizó su publicación en octubre de 2011 para escribir que "Dropbox ha lanzado la versión 1.2.48 que utiliza una base de datos local cifrada y, según se informa, implementa mejoras de seguridad para prevenir el robo de las credenciales de la máquina". ^{[ 1 ]} Un informe de The Next Web incluyó un comentario de Dropbox, en el que discrepaban con Newton de que el tema fuera una falla de seguridad, explicando que "El investigador afirma que un atacante podría obtener acceso a la cuenta de Dropbox de un usuario si logra obtener acceso físico a la computadora del usuario. En realidad, en el momento en que un atacante tiene acceso físico a una computadora, la batalla de seguridad ya está perdida. [...] esta 'falla' existe en cualquier servicio que utilice cookies para la autenticación (prácticamente todos los servicios web )". ^{[ 2 ]}

En mayo de 2011, se presentó una queja ante la Comisión Federal de Comercio de EE. UU. alegando que Dropbox engañaba a los usuarios sobre la privacidad y la seguridad de sus archivos. El núcleo de la queja radicaba en la política de deduplicación de datos , mediante la cual el sistema verifica si un archivo ha sido subido previamente por algún otro usuario y, de ser así, enlaza con la copia existente; y en la política de usar una única clave AES-256 para cada archivo en el sistema, de modo que Dropbox puede (y de hecho lo hace, para la deduplicación) examinar los archivos cifrados almacenados en el sistema, con la consecuencia de que cualquier intruso que obtenga la clave (así como posibles empleados de Dropbox) podría descifrar cualquier archivo si tuviera acceso a la infraestructura de almacenamiento de Dropbox. ^{[ 3 ]} En una respuesta en su blog, Dropbox escribió que "Como la mayoría de los servicios en línea importantes, tenemos un pequeño número de empleados que deben poder acceder a los datos de los usuarios cuando la ley lo exige. Pero esa es la excepción, no la regla. Tenemos políticas estrictas y controles de acceso técnicos que prohíben el acceso de los empleados excepto en estas raras circunstancias. Además, empleamos una serie de medidas de seguridad físicas y electrónicas para proteger la información del usuario del acceso no autorizado". ^{[ 4 ]} En respuesta a la queja de la FTC, la portavoz de Dropbox, Julie Supan, dijo a InformationWeek que "Creemos que esta queja carece de fundamento y plantea cuestiones que se abordaron en nuestra publicación de blog del 21 de abril". ^{[ 3 ]}

El 20 de junio de 2011, TechCrunch informó que se podía acceder a todas las cuentas de Dropbox sin contraseña durante cuatro horas. ^{[ 5 ]} En una publicación de blog, el cofundador Arash Ferdowsi escribió: «Ayer realizamos una actualización de código a la 1:54 p. m., hora del Pacífico , que introdujo un error que afectaba a nuestro mecanismo de autenticación. Lo descubrimos a las 5:41 p. m. y la solución se implementó a las 5:46 p. m. Un número muy reducido de usuarios (mucho menos del 1 %) inició sesión durante ese período, algunos de los cuales podrían haber accedido a una cuenta sin la contraseña correcta. Como medida de precaución, cerramos todas las sesiones iniciadas». Añadió que se estaba llevando a cabo una «investigación exhaustiva» y que «Esto nunca debería haber ocurrido. Estamos revisando nuestros controles e implementaremos medidas de seguridad adicionales para evitar que esto vuelva a suceder». ^{[ 6 ]} Julianne Pepitone, escribiendo para CNNMoney , escribió que "Es el escenario de pesadilla en materia de seguridad: un sitio web repleto de documentos confidenciales deja todos los datos de sus clientes desprotegidos y expuestos", y presentó un comentario de Dave Aitel , presidente y director ejecutivo de la empresa de seguridad Immunity Inc., que decía: "Cualquier confianza en la nube es demasiada confianza en la nube; es tan simple como eso. [...] Es prácticamente el estándar entre los profesionales de la seguridad que solo se debe poner en la nube lo que uno estaría dispuesto a entregar". ^{[ 7 ]}

En julio de 2011, Dropbox actualizó sus Términos de Servicio, Política de Privacidad y Resumen de Seguridad. La nueva Política de Privacidad generó críticas, como señaló Christopher White en una publicación de Neowin , donde escribió: «Intentaron simplificar la jerga legal para que fuera más fácil de entender para el público general. Al parecer, lo lograron y, en el proceso, se apropiaron de todos los archivos que utilizan su servicio». Citando un párrafo de la Política de Privacidad actualizada que indicaba que Dropbox necesitaba el permiso del usuario para «usar, copiar, distribuir, crear obras derivadas (como traducciones o conversiones de formato), ejecutar o mostrar públicamente» los datos del usuario, White escribió: «Esta terminología tan amplia resulta alarmante para los usuarios finales, ya que permite claramente a Dropbox apropiarse del trabajo de una persona, ya sean fotografías, obras de ficción o investigaciones científicas, y le otorga a la empresa el derecho a hacer lo que quiera sin que el propietario original pueda reclamar». Después de que los usuarios expresaran su preocupación por el cambio, Dropbox actualizó nuevamente su política, agregando: "Esta licencia es únicamente para permitirnos administrar, mostrar y operar técnicamente los Servicios". White concluyó escribiendo que "Si bien este es un paso en la dirección correcta, todavía no tiene sentido que un producto que se usa para transferir archivos de una computadora a otra necesite la capacidad de "preparar obras derivadas de" los archivos de cualquier persona". ^{[ 8 ] [ 9 ]}

En julio de 2012, Dropbox contrató a "expertos externos" para averiguar por qué algunos usuarios recibían correo basura de Dropbox. ^{[ 10 ]} En una publicación en su blog, el empleado de Dropbox, Aditya Agarwal, escribió que "nombres de usuario y contraseñas robados recientemente de otros sitios web se utilizaron para iniciar sesión en un pequeño número de cuentas de Dropbox. Nos hemos puesto en contacto con estos usuarios y les hemos ayudado a proteger sus cuentas". Sin embargo, Agarwal también señaló que "una contraseña robada también se utilizó para acceder a una cuenta de Dropbox de un empleado que contenía un documento de proyecto con direcciones de correo electrónico de usuarios. Creemos que este acceso indebido es lo que provocó el spam. Lo lamentamos y hemos implementado controles adicionales para ayudar a garantizar que no vuelva a suceder". Uno de los controles adicionales implementados fue la introducción de la autenticación de dos factores . ^{[ 11 ] [ 12 ]} En febrero de 2013, los usuarios informaron de más spam, y la empresa declaró que "hasta el momento, no hemos visto nada que sugiera que se trate de un problema nuevo", y culpó al problema anterior de correo basura de julio pasado. ^{[ 13 ]}

En junio de 2013, The Guardian y The Washington Post publicaron documentos confidenciales que sugerían que Dropbox estaba siendo considerado para su inclusión en el programa clasificado PRISM de vigilancia de Internet de la Agencia de Seguridad Nacional . ^{[ 14 ] [ 15 ]}

El 11 de enero de 2014, Dropbox sufrió una interrupción del servicio. Un grupo de hackers llamado The 1775 Sec publicó en Twitter que había comprometido el sitio de Dropbox "en honor al activista de Internet y programador informático Aaron Swartz , quien se suicidó hace un año". Sin embargo, Dropbox publicó en Twitter: "¡El sitio de Dropbox ya está funcionando! Las afirmaciones sobre la filtración de información de usuarios son un engaño. La interrupción se produjo durante un mantenimiento interno. ¡Gracias por su paciencia!". ^{[ 16 ] [ 17 ] [ 18 ]} En una publicación de blog que detallaba el problema, Akhil Gupta de Dropbox escribió: "El viernes a las 17:30 (hora del Pacífico), teníamos programado un mantenimiento para actualizar el sistema operativo de algunas de nuestras máquinas. Durante este proceso, el script de actualización verifica que no haya datos activos en la máquina antes de instalar el nuevo sistema operativo. Un error sutil en el script provocó que el comando reinstalara un pequeño número de máquinas activas. Desafortunadamente, algunos pares maestro-réplica se vieron afectados, lo que provocó la caída del sitio". Gupta también señaló que "Sus archivos nunca estuvieron en riesgo durante la interrupción". ^{[ 19 ]}

En abril de 2014, Dropbox anunció que Condoleezza Rice se uniría a su junta directiva, ^{[ 20 ]} lo que provocó críticas de algunos usuarios preocupados por su nombramiento debido a su historial como Secretaria de Estado de los Estados Unidos y las revelaciones de "intervenciones telefónicas generalizadas a ciudadanos estadounidenses durante su mandato" . ^{[ 21 ]} RiceHadleyGates, una firma de consultoría compuesta por Rice, el exasesor de seguridad nacional de los Estados Unidos Stephen Hadley y el exsecretario de Defensa de los Estados Unidos Robert Gates , había asesorado previamente a Dropbox. ^{[ 22 ]}

En mayo de 2014, Dropbox deshabilitó temporalmente los enlaces compartidos. En una publicación de blog, la compañía detalló un escenario de vulnerabilidad web en el que compartir documentos que contenían hipervínculos provocaba que el enlace original de Dropbox compartido se volviera accesible para el propietario del sitio web si un usuario hacía clic en el hipervínculo del documento. Algunos tipos de enlaces compartidos permanecieron deshabilitados durante las siguientes semanas hasta que Dropbox finalmente modificó la funcionalidad. ^{[ 23 ] [ 24 ]}

En una entrevista de julio de 2014, el excontratista de la NSA, Edward Snowden, calificó a Dropbox de "hostil a la privacidad" porque su modelo de cifrado permite a la empresa entregar datos de usuarios a agencias gubernamentales, y recomendó usar el servicio de la competencia, SpiderOak . En respuesta, una portavoz de Dropbox declaró que "Proteger la información de nuestros usuarios es una prioridad absoluta en Dropbox. Nos hemos comprometido en nuestra política de privacidad a resistir las solicitudes gubernamentales generalizadas y estamos luchando para cambiar las leyes de manera que existan protecciones fundamentales de la privacidad para los usuarios de todo el mundo". ^{[ 25 ]}

En octubre de 2014, un usuario anónimo de Pastebin afirmó haber comprometido "casi siete millones" de nombres de usuario y contraseñas de Dropbox, publicando gradualmente la información. Sin embargo, en una entrada de blog, Dropbox declaró: "Los recientes artículos de noticias que afirman que Dropbox fue hackeado no son ciertos. Tus datos están seguros. Los nombres de usuario y contraseñas a los que se hace referencia en estos artículos fueron robados de servicios ajenos, no de Dropbox. [...] Posteriormente, se publicó en línea una lista de nombres de usuario y contraseñas. Hemos comprobado que no están asociados a cuentas de Dropbox". ^{[ 26 ] [ 27 ] [ 28 ]}

En diciembre de 2014, cuando Dropbox introdujo planes de almacenamiento de pago de un terabyte, se inició un largo debate en el foro de soporte de Dropbox titulado "¿Podemos tener planes de menos de 1 TB?". ^{[ 29 ]} Los usuarios de Dropbox expresaron su preocupación por no poder aumentar su plan, que inicialmente era gratuito y tenía dos gigabytes, en incrementos menores a un terabyte. Para 2020, el plan mínimo de almacenamiento de pago aumentó a dos terabytes, lo que hizo que el incremento desde la cuenta gratuita hasta el plan mínimo de pago fuera inalcanzable para muchos usuarios.

En agosto de 2016,  se publicaron en línea las direcciones de correo electrónico y las contraseñas de 68 millones de cuentas de Dropbox, con información proveniente del problema de spam de correo electrónico de 2012. ^{[ 30 ] [ 31 ] [ 32 ]} El investigador de seguridad independiente Troy Hunt comparó la base de datos con su sitio web de filtraciones de datos y verificó los datos al descubrir que tanto su cuenta como la de su esposa habían sido reveladas. Hunt comentó que "No hay duda alguna de que la filtración de datos contiene contraseñas legítimas de Dropbox, simplemente no se puede fabricar algo así". ^{[ 33 ]} En una publicación de blog, Dropbox declaró: "La lista de direcciones de correo electrónico con contraseñas cifradas y con sal es real, sin embargo, no tenemos indicios de que se haya accedido indebidamente a las cuentas de usuario de Dropbox. Lamentamos mucho lo sucedido y nos gustaría aclarar lo que está pasando". La compañía detalló que la información "probablemente se obtuvo en 2012", y que la compañía tuvo conocimiento de la lista por primera vez dos semanas antes, momento en el que inmediatamente inició una investigación. "Luego enviamos un correo electrónico a todos los usuarios que creíamos afectados y realizamos un restablecimiento de contraseña para aquellos que no la habían actualizado desde mediados de 2012. Este restablecimiento garantiza que, incluso si estas contraseñas se descifran, no se puedan usar para acceder a las cuentas de Dropbox." ^{[ 34 ]}

En enero de 2017, Dropbox restauró archivos y carpetas supuestamente eliminados años atrás en cuentas de usuario. En un ejemplo, un usuario informó que carpetas de 2011 y 2012 habían regresado. Al explicar el problema, un empleado de Dropbox escribió en su foro: "Un error impedía que algunos archivos y carpetas se eliminaran por completo de nuestros servidores, incluso después de que los usuarios los hubieran eliminado de sus cuentas de Dropbox. Al solucionar el error, restauramos inadvertidamente los archivos y carpetas afectados en las cuentas de esos usuarios. Fue un error nuestro; no se debió a un tercero ni a un ataque informático. Normalmente, eliminamos permanentemente los archivos y carpetas de nuestros servidores dentro de los 60 días posteriores a que un usuario los elimine. Sin embargo, los archivos y carpetas eliminados afectados por este error presentaban inconsistencias en los metadatos . Por lo tanto, los pusimos en cuarentena y los excluimos del proceso de eliminación permanente hasta que se pudieran corregir los metadatos". ^{[ 35 ] [ 36 ]}

En julio de 2018, investigadores de la Universidad Northwestern publicaron un artículo ^{[ 37 ]} en Harvard Business Review sobre el análisis de los hábitos de decenas de miles de científicos utilizando datos anonimizados proporcionados por Dropbox. Los datos utilizados correspondían al período comprendido entre mayo de 2015 y mayo de 2017, y provenían de todos los científicos que utilizaban la plataforma en 1000 universidades. ^{[ 38 ]} Dropbox eliminó los nombres personales asociados a los datos, pero según Casey Fiesler , investigador de la Universidad de Colorado, los títulos de las carpetas y las estructuras de archivos proporcionadas podrían utilizarse para identificar a las personas. Posteriormente, en una publicación de blog, Dropbox ^{[ 39 ]} afirmó que la identificación inversa de los datos era imposible. Los datos se proporcionaron sin el consentimiento expreso de las 16 000 personas cuya información fue consultada.

En febrero de 2020, VentureBeat obtuvo un documento que contenía entrevistas con 16 empleados actuales y exempleados de Dropbox que afirmaban ser víctimas de discriminación de género . Los sujetos del informe denunciaban discriminación, señalando ejemplos como "cambios en los criterios de ascenso, remuneración desigual, retrocesos en sus carreras tras la baja por maternidad y represalias al presentar sus casos ante Recursos Humanos". El informe también detallaba casos de presunto acoso y degradación tras la presentación de una queja ante Recursos Humanos de Dropbox o el regreso al trabajo después de la baja por maternidad. ^{[ 40 ]}