El rápido crecimiento de Careem dejó expuestos a los hackers los datos de 14 millones de usuarios

Careem era la respuesta de Oriente Medio a Uber: una aplicación de transporte con conductor con sede en Dubái que había crecido rápidamente en más de una docena de países, desde el Golfo hasta el norte de África, Pakistán y Turquía. Como otras plataformas, guardaba los datos personales de millones de clientes y de los conductores que les prestaban servicio.

El 14 de enero de 2018, Careem detectó que sus sistemas habían sido vulnerados. Los hackers habían accedido a los datos de cuenta de unas 14 millones de personas —tanto pasajeros como conductores—, llevándose nombres, direcciones de correo electrónico, números de teléfono y registros de viajes. Fue una de las mayores brechas de datos notificadas en la región.

Careem no anunció la brecha de inmediato. La reveló públicamente el 23 de abril de 2018, unos tres meses después de detectarla, alegando que había necesitado tiempo para investigar y que había colaborado con las autoridades y con especialistas en seguridad. Ese intervalo suscitó la habitual pregunta sobre con qué rapidez debe una empresa informar a sus usuarios.

El caso recuerda que las plataformas de rápido crecimiento son objetivos de datos antes que cualquier otra cosa. Careem se había apresurado a sumar ciudades y usuarios, y la información personal que acompañó a ese crecimiento se convirtió en un activo para los atacantes. La lección es que la seguridad tiene que escalar al mismo ritmo que la base de usuarios, y que el momento de la divulgación forma parte de la propia respuesta.

Careem se apresuró a sumar ciudades y usuarios, acumulando datos personales más rápido de lo que reforzaba sus defensas, y retrasó tres meses la divulgación tras detectar la brecha.

La rápida expansión de Careem por muchos países acumuló los datos personales de millones de pasajeros y conductores más rápido de lo que se reforzaron sus defensas frente a los atacantes.

Una plataforma de transporte con conductor es un objetivo codiciado: reúne en un solo lugar nombres, datos de contacto y datos de movilidad de una base de usuarios amplia y geográficamente dispersa.

La brecha se detectó en enero, pero solo se reveló en abril, dejando una ventana de tres meses en la que los usuarios afectados no sabían que sus datos habían sido sustraídos.

El hecho de guardar datos tanto de pasajeros como de conductores duplicó la exposición e implicó que la brecha alcanzara a las personas que se ganan la vida a través de la plataforma, no solo a sus clientes.

Una plataforma que se apresura a sumar usuarios está construyendo un objetivo al mismo ritmo que un negocio. Los datos personales deben protegerse al ritmo del crecimiento y, cuando se produce una brecha, informar con prontitud a los usuarios forma parte de la solución.

Careem siguió operando y posteriormente fue adquirida por Uber, convirtiéndose en el núcleo del negocio de Uber en la región. La brecha se cita en los debates sobre seguridad de datos en empresas tecnológicas de alto crecimiento en mercados emergentes, donde el número de usuarios puede superar las prácticas de seguridad y divulgación que deberían acompañarlo.