En el marco de un estudio, la institución generó una encuesta y la divulgó. Eso le llegó a una persona del grupo y ésta lo publicó. Llegaron dos links, el formulario y la landing page de la institución. Por reflejos busqué en la página de la institución si estaba el link, pero no lo hallé.
No es garantía de autenticidad, pero que el link esté en la página es un poquito mejor a que no esté. Yo podría ahora hacer una encuesta de algo que considero importante y todo el mundo puede estar de acuerdo, pero, ¿quién me respondería, si soy un perejil?
Entonces hago un mail de alguien "importante" y lo cito enviándolo a otras personas. Éstas, de buena fé, llenan mi encuesta pensando que soy esa institución.
Si el único problema acá es que me estoy "robando" la imagen para poder hacer una encuesta que considero importante, como que es sólo una trampita, la persona que la llena seguramente no sufre ningún perjuicio, en todo caso la institución.
Sin embargo, lo más normal de este tipo de engaños, sería obtener información de la persona, tornándose en ésta la víctima.
De un modo u otro, recomiendo a la institución que al enviar una solicitud, se deje en el sitio alguna referencia. En particular OISTE fué avisado, estuvieron de acuerdo y pronto lo corregirán.
A la persona, que nunca siga el link recibido por el mail, que vaya al sitio y lo tome de ahí. Esto no significa ninguna garantía de autenticidad, es sólo una dificultad para el atacante, que no lo será si tiene bajo su control el sitio y las cuentas institucionales. Queda en tí si al llenar la encuesta la información solicitada corresponde con el tema de la encuesta.
Esto me lleva a compartir algunas reflexiones que tenía guardadas de hace años con respecto a las encuestas "anónimas":
Hay encuestas que no dicen ser anónimas y aún así pueden serlo si quien la construye no tiene interés en identificar a las personas. Otras que dicen serlo por diversos motivos, como pueden ser legales o te van a preguntar cosas que no contestarías si no fueran anónimas.
El problema es, ¿quién te garantiza que sea anónima? Veamos algunos recursos que pueden servirle al atacante para desanonimizar. La idea es que sea para tí un ejercicio mental de entrenamiento de paranoia útil, no que intentes necesariamente aplicar las defensas.
Tecnológicos básicos
La dirección IP, el useragent, cookies, ciertas configuraciones, en fin, lo que se llama "browser fingerprinting"
Para evitar esto, acceder por TOR, pero sólo sirve si eso no va a producir que te identifique por ser la única persona que usaría TOR. Una vez que usás TOR hay técnicas avanzadas pero quizás estén fuera del alcance del atacante común, como cortar segmentos de red para interrumpir el tráfico en tu ciudad e ir achicando... no, mucha complicación.
La navegación privada puede servir, aunque tengo entendido que hay ataques sofisticados que podrían cancelarla.
El link
Supongamos que lo anterior está descartado. Si todas las personas reciben el mismo link, no se pueden identificar. Pero se le podría enviar un link a cada persona. Por ello puede ser mejor entrar por una página que tenga el link que por un mail, si esta página no es en un sitio autenticado.
Compará tu link con el de otras personas.
El tiempo
Supongamos que lo anterior está descartado. Ahora el atacante envía el link y espera a que contestes, luego envía el siguiente y así.
Esperá un tiempo a que otras personas hayan recibido el link.
Preguntas canario
Supongamos que lo anterior está descartado. El atacante puede poner preguntas muy específicas o combinaciones de las cuales ya sé la respuesta de cada persona, la identifico.
Esto se arregla... mintiendo.
Segmentación
Esto es algo parecido al canario pero más genérico: si especificás tu género (a la antigua F-M), das tu rango de edad, (<30, 30-60, >60), el barrio y así, rápidamente se reducen las opciones.
Esto se arregla... mintiendo o con una cierta falta de precisión.
No sé si todas conocemos el juego de los animales, en que una persona piensa un animal y el resto hace preguntas de si/no. Si tenés seis patas sos un insecto y me ahorré una pregunta.
Campana de gauss
Si tus respuestas estan en los costaditos, vas a llamar la atención. La pertenencia a grupos reducidos te identifica, por ejemplo que seas hincha de Chicago.
Texto libre para análisis de estilo
He leido de varias fuentes (perdón, estoy muy vago para ponerme a buscar) que haciendo análisis de estilo de textos se puede identificar si uno nuevo corresponde a los conocidos.
Me parece que eso se soluciona copiando y pegando frases, se va a leer medio raro. Tambien pidiéndole a otras personas que lo modifiquen un poco.
Ojo al mentir
Existe algo que se llama "consistencia": si sos varón no te pregunto tu edad de menarca, si sos daltónico, desconfío si tu color favorito es el rojo
Toda la encuesta o preguntas de a una
Las encuestas como los exámenes pueden ser "adaptativos", me han dicho que en algunas certificaciones cuando metés la pata en un respuesta se ensañan y te siguen haciendo preguntas cercanas como para dejarte afuera.
Es mucho más fácil mentir cuando tenés toda la encuesta a la vista pues podés mantener la consistencia. Es como los exámenes de respuestas múltiples, me ha ocurrido llenar algunos de temas que no conocía y sacar más puntos que los que corresponden al azar, pues nuestro sistema de reconocimiento de patrones "descubre" algunas respuesta correctas en función de otras preguntas. Supongo que a todos nos ha pasado.
El problema de fondo
Es que si el encuestador es o representa al adversario, está ganando información para ganarte.
PS
No bien había terminado de escribir esto y ya casi a punto de publicar, hubo otra consulta que tiene algo parecido.
No hay comentarios:
Publicar un comentario