Reflexiones sobre el hackeo a Geelbe

Ayer la gente de Geelbe tuvo uno de esos días que uno no desea tener, su sitio fue hackeado y producto de esto se hicieron públicos los datos de un grupo de usuarios (usuario y clave).

Ayer hablamos sobre las recomendaciones para nosotros como usuarios de estos servicios, pero ahora que ya pasó creo que hay varios puntos para tener en cuenta y de los que aprender para toda la comunidad de emprendedores:

• Primero y principal nadie está exento de estos problemas, por supuesto que una vez que nuestro emprendimiento crece y gana exposición la posibilidades de tener gente intentando hackearnos crecen directamente.
• Un buen manejo de este tipo de crisis es fundamental, ante todo evitar que el problema se expanda aplicando medidas directas y luego comunicación, es importante tener comunicación sobre lo que sucede. En este caso Geelbe primero que nada bajó sus sitios cortando así lo que podría ser una seguidilla de intentos de hackeo y luego utilizó el poder de las redes sociales para mantener al público informado.
• Cuando hablamos de comunicación hay que identificar muy bien a nuestro público, Twitter es una herramienta sin lugar a dudas importante en este aspecto, por supuesto, si seguimos y nos siguen las personas correctas. Pero la velocidad con la que la noticia se propaga quedó demostrada una vez más, Twitter le gana por lejos a cualquier otro medio. Sin embargo, Twitter lo uso un grupo particular de gente, no cualquiera, lo usa generalmente los bloggers y gente en general "técnica", gente que vive de y para Internet, pero no el público general.
• Los blogs llegan a un público más general y tienen una audiencia más amplia pero tampoco son dirigidos o en tiempo real, en esto no hay quien le gane a un mail directo y aquí creo que el comunicado oficial tardó en llegar, si bien llegó y hay que reconocer el esfuerzo de todo el equipo de Geelbe en mantener tranquila a la comunidad, "la comunidad" no necesariamente fueron sus usuarios, es importante informar a los afectados antes que a nadie, tampoco queremos "avivar giles" (perdón por la expresión), lo primero que se generó cuando se supo la noticia fue una carrera para encontrar el listado de mails (el cual no se propagó, creo que por responsabilidad de esa misma comunidad de la que hablamos, lo cual habla muy bien de la gente en general).
• Tenemos que estar abiertos a cualquier comentario de cualquier tipo, una vez que Geelbe explicó lo sucedido surgieron cantidad de comentarios de gente con una mayor conocimiento técnico ofuscados por lo sencillo de la falla de seguridad. A esta gente hubo que dar una respuesta más técnica, la cual llegó también y es otro punto a tener en cuenta cuando debemos responder a estas crisis.

El problema en sí mismo nos abre también reflexiones cuando encaramos un proyecto y cuál es nuestro rol, sea como desarrolladores o como líderes:  Seguir las buenas prácticas de programación no es un capricho, debemos seguirlas si somos nosotros o exigir a nuestros proveedores que lo hagan. Todos los que vivimos en este mundo sabemos lo que es un "sql injection"y cómo prevenirlo, sabemos también que es lo primero que se intenta cuando buscan hackearnos y, si esto no es poco debemos ser concientes que las claves se deben guardar en formato hash.

Sabemos también que la exigencia por entrar en producción muchas veces nos obliga a dejar de lado estas buenas prácticas y nuestro ciclo de testing se simplifica, creo que este es el caso, desde Geelbe explican que la versión vieja del sitio fue la afectada, la versión actual, que tiene unos cuantos meses en línea no sufre este inconveniente. Si esto es así, la pregunta del millón es que hace online la versión vieja todavía.
La respuesta a esta pregunta parece ser que el ataque sucedió tiempo atrás y que no lo descubrieron hasta ayer, lo cual es otro punto de preocupación, ya que los mecanismos de Geelbe de detección de intrusos (si los hubo) tampoco funcionaron.

En resumen, creo que Geelbe manejó bien la situación una vez que se presentó, actuó de forma correcta pero podría haberse evitado si hubiesen empezado con el pie derecho el desarrollo, para nosotros emprendedores nos queda ese aprendizaje.