Qué pasó exactamente
Sears dejó expuestas públicamente miles de conversaciones de su chatbot de atención al cliente durante varios meses. Cualquier persona con acceso a internet podía leer estos chats simplemente navegando a ciertas URLs del sitio web de la empresa.
Las conversaciones incluían información sensible: números de teléfono, direcciones, detalles sobre devoluciones de productos y quejas de servicio. Todo esto visible sin ningún tipo de autenticación o password.
Cómo se descubrió la falla
Un investigador de seguridad encontró la vulnerabilidad mientras exploraba el sitio web de Sears. La falla existía porque el sistema de chatbot estaba configurado para almacenar las conversaciones en servidores que no tenían las protecciones básicas de acceso.
Sears corrigió el problema después de ser notificada, pero el daño ya estaba hecho. Durante meses, la información personal de sus clientes estuvo completamente expuesta.
Por qué esto es más común de lo que pensás
Este tipo de errores no son raros en el mundo de los chatbots. Muchas empresas implementan estas herramientas rápidamente para mejorar el servicio al cliente, pero no consideran dónde se almacenan las conversaciones ni quién puede acceder a ellas.
Es como construir una casa con una puerta principal súper segura, pero dejar todas las ventanas abiertas. Los chatbots manejan información igual de sensible que cualquier otro sistema, pero a menudo se tratan como una funcionalidad "menor".
Qué pueden hacer las empresas
Auditar antes de lanzar: Revisar dónde se almacenan las conversaciones y quién puede acceder a ellas. Si un desarrollador puede ver todos los chats sin autenticación, algo está mal configurado.
Implementar cifrado: Los chats deben estar encriptados tanto en tránsito como en reposo. Esto significa que incluso si alguien accede a los servidores, no puede leer el contenido.
Monitoreo continuo: Establecer alertas para detectar accesos inusuales a las bases de datos donde se almacenan las conversaciones.
El costo real de estos errores
Para Sears, esto significa posibles multas, pérdida de confianza del cliente y costos legales. Pero para empresas más pequeñas, un error similar podría ser devastador.
En LATAM, donde las regulaciones de protección de datos están volviéndose más estrictas, las multas pueden ser significativas. Brasil ya tiene su LGPD, México su Ley Federal de Protección de Datos, y otros países están siguiendo el camino.