El 25% de los noruegos se descarga una app contra la covid-19 pese a las dudas sobre seguridad y privacidad

Mientras el confinamiento se relaja con la reapertura de guarder¨ªas y colegios, tras mejorar la situaci¨®n, el Gobierno noruego ha lanzado una aplicaci¨®n para m¨®viles de seguimiento del coronavirus. Como los sistemas de rastreo de contagios que preparan varios pa¨ªses europeos, Smittestopp (freno a la infecci¨®n), notifica a los usuarios si han estado en contacto con una persona infectada. Pero adem¨¢s, permite a las autoridades monitorear c¨®mo se mueve la poblaci¨®n para calibrar la efectividad de las medidas. Desde su lanzamiento el 19 de abril, ha sido descargada por 1.427.000 usuarios -el 25% de la poblaci¨®n-, seg¨²n el Instituto Noruego de Salud P¨²blica (FHI, en sus siglas en noruego). Aunque las autoridades esperan que m¨¢s del 60% la use, el periodo de pruebas no se ha salvado de la controversia sobre su seguridad y privacidad.

Con la promesa de ¡°dar m¨¢s libertad, m¨¢s r¨¢pidamente¡± a los noruegos, como anunciara en su presentaci¨®n en rueda de prensa la primera ministra de Noruega, Erna Solberg, las autoridades del FHI, la Direcci¨®n de Salud Electr¨®nica y el Consejo de Investigaci¨®n de Noruega, encargaron al laboratorio de investigaci¨®n Simula, una organizaci¨®n estatal sin ¨¢nimo de lucro, el desarrollo a la carrera de Smittestopp.

El planteamiento es sencillo. Cuando el usuario se registra como infectado por el coronavirus en la Divisi¨®n de Control de Enfermedades Infecciosas (MSIS), se env¨ªa una sola notificaci¨®n en forma de mensaje de texto a todos contactos cercanos, entendidos como las personas que han estado a menos de dos metros de la persona infectada al menos durante 15 minutos, durante los ¨²ltimos 14 d¨ªas. Naturalmente, tanto el infectado como sus contactos han de haber llevado consigo sus tel¨¦fonos y tener descargada la aplicaci¨®n. ¡°Es posible que se cambie el tiempo de contacto a cinco minutos, seg¨²n los nuevos descubrimientos sobre la propagaci¨®n¡±, se?alaba el subdirector gerente de Simula, Kyrre Lekve, al portal Forskning.no.

En la actualidad, la aplicaci¨®n se usa solo para recopilar datos del movimiento de la poblaci¨®n. Este lunes, el FHI anunci¨® que probar¨¢ la funci¨®n de notificaci¨®n para aquellos que hayan estado en contacto un infectado en los municipios de Drammen, Troms? y Trondheim, y a partir del martes los residentes recibir¨¢n un mensaje de texto en caso de haber estado expuestos a la infecci¨®n.

Disponible para iOS y Android, la app de seguimiento proporciona a las autoridades datos an¨®nimos sobre los movimientos de los usuarios y medir la efectividad de las medidas de contenci¨®n del coronavirus a trav¨¦s de la combinaci¨®n de los servicios de ubicaci¨®n GPS y la tecnolog¨ªa bluetooth, con el fin de recopilar y cifrar informaci¨®n, y subirla al almacenamiento central de datos con el prop¨®sito aventajar en rapidez al tradicional sistema de rastreo manual. El uso del GPS es una diferencia notable de esta aplicaci¨®n respecto a la que proyectan la mayor¨ªa de pa¨ªses europeos y la hace m¨¢s pol¨¦mica en cuesti¨®n de privacidad.

Un caldo de cultivo de alertas falsas

Tras el lanzamiento, una de las principales quejas de los usuarios apunta al excesivo consumo de energ¨ªa que requiere la aplicaci¨®n. El subdirector de Salud, Espen Rostrup Nakstad, disculpa como ¡°un peque?o precio a pagar¡± tener que cargar el m¨®vil un tiempo extra durante un d¨ªa para ayudar a detener la propagaci¨®n de la infecci¨®n y anima a la poblaci¨®n a tener siempre a mano un cargador. A principios de esta semana, las autoridades aseguran que habr¨¢ una actualizaci¨®n para reducir el consumo. Otro frente es la carencia de un dise?o universal adaptado para los usuarios con discapacidad visual y las personas mayores, con m¨¢s dificultades para usar la aplicaci¨®n.

Pero lo que realmente inquieta a los noruegos es la seguridad de sus datos. La nueva app de rastreo notifica por SMS si el usuario ha estado cerca de una persona contagiada por coronavirus. Sin embargo, el servicio de mensajer¨ªa es uno de los mayores puntos d¨¦biles de Smittestopp. Un equipo la radiotelevisi¨®n p¨²blica noruega NRK tard¨® apenas diez minutos en configurar un sistema para enviar alertas falsas falsificando direcciones de remitente para SMS. Esto prueba la vulnerabilidad de los mensajes de Smittestopp, que puede representar una oportunidad de oro para los estafadores.

¡°Es muy f¨¢cil enviar grandes cantidades de SMS a cualquier persona en todo el mundo con un n¨²mero de remitente falso o una palabra como "Helsenorge" (Sanidad de Noruega) y asustar a la gente. Esos mensajes pueden, adem¨¢s, incrustarse en los hilos de existentes que el usuario tenga con su m¨¦dico de familia o la Agencia Tributaria¡±, alerta el experto en seguridad Per Thorsheim, quien teme que se pida a los destinatarios visitar webs falsas que soliciten informaci¨®n de la tarjeta bancaria.

El director de seguridad de la informaci¨®n del FHI, P?l Soler?d, ha reconocido que las autoridades son conscientes del problema, pero optaron por el servicio de SMS como un canal de notificaci¨®n simple y r¨¢pido que todos los usuarios saben manejar, frente a notificar a trav¨¦s de la aplicaci¨®n, aunque no descartan esa v¨ªa m¨¢s adelante. El CISO recomienda a los usuarios que tengan dudas buscar en la web Helsenorge.no para verificar las notificaciones.

Sin un n¨²mero real de usuarios

Antes de su lanzamiento, a principios de marzo, uno de cada cuatro noruegos acog¨ªa con escepticismo la medida, pero la mitad de los encuestados asegur¨® que se descargar¨ªa la aplicaci¨®n. La Autoridad de Protecci¨®n de Datos de Noruega, el Datatilsynet, que ha participado en el desarrollo de Smittestopp, se muestra optimista, aunque recuerda que la aplicaci¨®n debe descargarse de forma voluntaria y pide total transparencia sobre los datos recopilados y su uso.

La desconfianza de los ciudadanos hace temer que los usuarios eliminen la aplicaci¨®n despu¨¦s de descargarla o desactiven los servicios de ubicaci¨®n. La Agencia de Salud P¨²blica de Noruega reconoce que actualmente se desconoce la precisi¨®n de la aplicaci¨®n cuando la funci¨®n bluetooth o de GPS no est¨¦n habilitadas.

Solo un mes de desarrollo

Smittestopp tambi¨¦n detectar¨¢ v¨ªas secundarias de infecci¨®n. A las personas que han estado en contacto con otra persona en contacto con un infectado tambi¨¦n se les podr¨¢ hacer seguimiento con consejos y sugerencias. Los investigadores podr¨¢n controlar el seguimiento de las recomendaciones y sus efectos sobre el n¨²mero total de contactos cercanos: por ejemplo, para ver si ha habido un aumento dram¨¢tico en caso de que el gobierno relaje las medidas de control de infecciones.

Las dudas sobre la seguridad que suscita la aplicaci¨®n residen en su r¨¢pido desarrollo, de solo un mes, con un software sin consolidar y sin contar con la interfaz de programaci¨®n de aplicaciones (API) de Google ni Apple.

El FHI garantiza que los datos se guardan por no m¨¢s de 30 d¨ªas y que la aplicaci¨®n est¨¢ programada para su eliminaci¨®n a finales de a?o. Smittestopp utiliza un servicio en la nube proporcionado por Microsoft, por lo que los datos se almacenan con c¨®digo cerrado en Irlanda, en consonancia con la legislaci¨®n noruega, defienden sus desarrolladores. ¡°Los registros de pacientes en el servicio de salud se almacenan igual, los datos est¨¢n protegidos mediante encriptaci¨®n. Publicar el c¨®digo fuente beneficiar¨ªa a aquellos que quieran hacer un mal uso de los datos El c¨®digo abierto es importante para corregir errores, pero se usa para aplicaciones que durar¨¢n mucho tiempo, y esta aplicaci¨®n no deber¨ªa¡±, explicaba a la cadena noruega TV 2 Lekve, vicepresidente de Simula, compa?¨ªa adjudicataria del desarrollo de la aplicaci¨®n cuyo contrato de cinco millones de coronas (290.000 euros) no ha pasado por ning¨²n proceso de licitaci¨®n.

Sin embargo, no todos los expertos est¨¢n seguros. ¡°No creo que nadie hubiera considerado aprobar una aplicaci¨®n de este tipo en tiempos normales. Esto inicia una pendiente resbaladiza que apunta hacia el amplio monitoreo de China", apuntaba el profesor de criptolog¨ªa Kristian Gj?steen en el portal Universitetsavisa.

Un riesgo ¡°aceptable¡±

El 9 de abril, un grupo de expertos present¨® un informe preliminar al Ministerio de Salud y Servicios de Atenci¨®n (HOD) tras evaluar la seguridad de la aplicaci¨®n. El documento revela debilidades y vulnerabilidades en el c¨®digo de la aplicaci¨®n. Sin embargo, los expertos concluyeron que el riesgo es aceptable para una aplicaci¨®n con datos tan sensibles en un momento excepcional, con la recomendaci¨®n de implementar la aplicaci¨®n primero en dos municipios.

Los expertos cr¨ªticos advierten de los riesgos para profesionales sujetos a la confidencialidad como los periodistas o los abogados. Se?alan que el prop¨®sito de la protecci¨®n contra infecciones se puede lograr sin que la informaci¨®n requiera el almacenamiento central de la informaci¨®n. Y avisan del riesgo de que las autoridades puedan utilizar la informaci¨®n para otros fines.

¡°Si esta aplicaci¨®n fuera un avi¨®n, no pondr¨ªa mi pie a bordo. Uno de los mejores consejos sobre la privacidad incrustada es no recopilar datos de identificaci¨®n personal en absoluto, por ejemplo con una m¨¢scara para anonimizar la direcci¨®n IP antes de dejar el tel¨¦fono m¨®vil al usuario. Smittestopp no tiene privacidad incorporada, los datos de la aplicaci¨®n se env¨ªan a trav¨¦s de la l¨ªnea encriptada, que es altamente identificable. Los datos de ubicaci¨®n se asignar¨¢n al dispositivo m¨®vil espec¨ªfico y no ser¨¢n an¨®nimos¡±, lamenta el desarrollador Nils Norman Hauk?s en el diario Bergens Tidende.

Informaci¨®n sobre el coronavirus

- Aqu¨ª puede seguir la ¨²ltima hora sobre la evoluci¨®n de la pandemia

- As¨ª evoluciona la curva del coronavirus en Espa?a y en cada autonom¨ªa

- Preguntas y respuestas sobre el coronavirus

- Gu¨ªa de actuaci¨®n ante la enfermedad

- En caso de tener s¨ªntomas, estos son los tel¨¦fonos que se han habilitado en cada comunidad

- Pinche aqu¨ª para suscribirse a la newsletter diaria sobre la pandemia