LinkedIn gana el despido de una demanda por daños y perjuicios por violación masiva de contraseñas

Servicio de redes sociales profesionales LinkedIn ganó la desestimación de una demanda por daños en nombre de usuarios premium que tenían su las contraseñas de registro expuestas como resultado de una violación de seguridad de los servidores de la compañía el año pasado.

La violación de datos salió a la luz a principios de junio de 2012, después de que piratas informáticos publicaron 6.5 millones de hash de contraseñas correspondientes a cuentas de LinkedIn en un foro subterráneo. Más del 60 por ciento de esos hashes de contraseñas fueron descifrados por piratas informáticos.

La primera queja contra LinkedIn fue presentada el 15 de junio de 2012 en el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California por un residente de Illinois y una cuenta de LinkedIn pagada propietaria llamada Katie Szpyrka.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

La denuncia alega que LinkedIn violó su propio Acuerdo de usuario y Política de privacidad al no utilizar los protocolos y la tecnología estándar de la industria para proteger a sus clientes 'información personalmente identificable, incluyendo direcciones de correo electrónico, contraseñas y credenciales de inicio de sesión.

Se presentó una queja enmendada el 26 de noviembre de 2012 en nombre de Szpyrka y otra usuario Premium de LinkedIn llamada Khalilah Gilmore-Wright, como representantes de clase para todos los usuarios de LinkedIn que se vieron afectados por la infracción. La demanda buscaba "medidas cautelares y otras medidas equitativas", así como la restitución y los daños a los demandantes y miembros de la clase.

Detalles de la demanda

La denuncia alegaba que LinkedIn no protegía adecuadamente los datos del usuario porque almacenaba contraseñas que usan una función de cifrado débil sin protección adicional, a pesar de su propia Política de privacidad que establece que "la información personal que proporcione estará protegida de conformidad con los protocolos y la tecnología estándar de la industria".

"El problema con esta práctica es doble. "dijo la queja. "Primero, SHA-1 es una función hash obsoleta, publicada por primera vez por la Agencia de Seguridad Nacional en 1995. En segundo lugar, almacenar contraseñas de usuarios en formato hash sin primero 'salantar' la contraseña entra en conflicto con los métodos convencionales de protección de datos y plantea riesgos significativos a la integridad de los datos confidenciales de los usuarios. "

La codificación de contraseñas es una forma de encriptación unidireccional. Un hash de contraseña es una representación criptográfica única de una contraseña de texto simple, pero a diferencia del texto cifrado generado con una función de cifrado bidireccional, los hashes no están destinados a ser descifrados. Cuando los usuarios inician sesión e ingresan su contraseña, la contraseña se transfiere sobre la marcha, y el hash resultante se compara con el que ya está almacenado en la base de datos para ese usuario.

Las funciones hash antiguas como SHA-1 son rápidas y eficientes, pero también son vulnerables a los ataques de fuerza bruta. Debido a esto, es una práctica común agregar una cadena única y aleatoria a cada contraseña antes de hash. Esto se conoce como 'salazón' y hace que el descifrado de contraseñas sea mucho más difícil.

La queja sostenía que si Szpyrka y Gilmore-Wright sabían que LinkedIn usaba un cifrado deficiente no habrían pagado las cuentas premium de LinkedIn que cuestan entre $ 19.95 y $ 99.95 por mes según el tipo de suscripción.

"Al suscribirse y comprar una cuenta 'premium', los Demandantes y los miembros de la Clase confiaron en la representación de LinkedIn de que usa 'protocolos y tecnología estándar de la industria' para preservar la integridad y la seguridad de su información personal al acordar crear una cuenta y proporcionar su PII a la compañía ", decía la demanda.

La demanda también argumentaba que las tarifas mensuales pagadas por los demandantes, o una parte de ellas, fueron utilizadas por LinkedIn. pagar los costos administrativos de la administración y seguridad de los datos y, por lo tanto, cumplir con su promesa de utilizar protocolos y tecnología de seguridad estándar de la industria.

Acciones judiciales

El martes, el tribunal autorizó a LinkedIn a desestimar la demanda sobre la base de que el Acuerdo de usuario y la Política de privacidad de la empresa son las mismas para cuentas gratuitas que para cuentas premium.

"Cualquier supuesta promesa que LinkedIn hizo a los titulares de la cuenta de pago superior con respecto a los protocolos de seguridad también se hizo a los miembros que no pagan ", dijo el juez en su orden para desestimar la demanda. "Por lo tanto, cuando un miembro compra una actualización de cuenta premium, la oferta no es para un nivel particular de seguridad, sino para las herramientas y capacidades de redes avanzadas para facilitar el uso mejorado de los servicios de LinkedIn. La FAC [Primera Queja Consolidada Enmendada] no demuestre suficientemente que lo incluido en la negociación de los Demandantes para la membresía premium era la promesa de un nivel de seguridad particular (o mayor) que no era parte de la membresía gratuita. "

Además, el juez dijo que los demandantes ni siquiera alegan que realmente leen la Política de privacidad, que se requeriría para respaldar un reclamo de tergiversación en nombre de LinkedIn.

En argumentos orales, el abogado de los demandantes afirmó que la demanda se basa principalmente en una presunta infracción de contrato, pero por tal demanda de estar de pie, los demandados deben especificar los daños resultantes de este supuesto incumplimiento de contrato. La lesión reclamada por los demandantes ocurrió antes del presunto incumplimiento del contrato, en el momento en que las partes firmaron el contrato por primera vez, dijo el juez. Por lo tanto, la pérdida económica que reclaman no puede ser los "daños resultantes" de un presunto incumplimiento del contrato, dijo.

En los casos en que el supuesto error surgió de acusaciones de desempeño insuficiente de las funciones de un producto, los tribunales han dictaminado que los demandantes deben alegar "algo más" que simplemente pagar en exceso por un producto defectuoso, dijo el juez. "Debido a que los Demandantes discrepan con la forma en que LinkedIn realizó los servicios de seguridad, deben alegar 'algo más' que daño económico puro. Este 'algo más' podría ser un daño como resultado de los servicios de seguridad deficientes y la brecha de seguridad, como, por ejemplo, el robo de su información de identificación personal ".