¿Quién no se ha topado alguna vez con una página o perfil falso en las redes sociales? Alguna por aquí y por allá, ¿verdad? En Axur, nos encontramos con miles de esas situaciones todos los días. Desgraciadamente, el volumen de casos aumenta.
Lo que poca gente sabe es que cualquiera —ya sea persona o empresa— puede impugnar la legalidad de un contenido de internet y solicitar su eliminación. Este proceso se llama “enforcement”, que es el acto de solicitar que una ley, reglamentación o norma sea cumplida.
Normalmente, se informa a quienes alojan contenidos infractores sobre el hecho a través de una carta (en realidad, hoy en día con un e-mail), que también funciona como una notificación administrativa y por ende, extrajudicial.
Los sites, marketplaces y proveedores de internet están amparados por la ley de sus países y de sus organismos reguladores. También poseen reglas internas, que son las creadas para proteger a su comunidad de usuarios. O sea, es interés de todos que los contenidos infractores sean erradicados de la internet.
En este artículo voy a discurrir por el campo de los secretos y peculiaridades del proceso de enforcement, y sobre todo haré énfasis en aquello que quien practica, compra o vende servicios de cybersecurity debe saber para abordar el tema con conocimiento de causa y argumentos asertivos.
Todas las empresas están migrando al ámbito digital. Si no lo están haciendo, deberían. Para insertarse en lo digital alcanza con tener una app o un servicio que se ofrece en línea. Quien anuncia, capta, realiza transacciones o se relaciona con clientes en línea, posee una presencia digital. Permítame introducir un paréntesis importante: la presencia digital todavía sigue siendo subestimada (como todo lo que es invisible), pero le aseguro que una buena presencia en la web puede ser más importante que una dirección física fija en una avenida concurrida de una gran metrópolis.
Al crear un perfil en TikTok, Instagram y afines, está creando un touchpoint digital. Con él, brinda a su cliente la posibilidad de interactuar, vía meta-channel, donde y cuando quiera. Al llevar los puntos de contacto con el cliente hacia afuera de su perímetro, usted va a precisar desarrollar la capacidad de monitorear si su presencia digital está preservada y si sus clientes no están siendo engañados por defraudadores que intenten aprovecharse de su marca y de su reputación en esos canales.
De esta manera, si usted está de acuerdo con avanzar por el camino del futuro digital, debe entender la importancia de, por ejemplo, eliminar perfiles falsos que se hacen pasar por su empresa (aun sin ser especialista en el tema, por supuesto).
Es irreal esperar que nunca tenga que realizar un takedown. Incluso con suerte, sería muy poco probable. Si usted aún no ha tenido esa experiencia, con seguridad le va a llegar el momento. Por eso, con este artículo pretendo prepararlo para encaminar el proceso. Voy a compartir un poco de nuestra experiencia apoyando a cientos de empresas en la protección de la experiencia digital de sus clientes.
Existen varios nombres para denominar a la eliminación de contenido infractor de la internet. Tal vez el más conocido sea “takedown”, pero hay opciones para todos los gustos.
Como comenté antes, es un proceso muy simple mediante el cual un dueño de un derecho (ya sea una marca o una persona física), solicita a un proveedor de internet que aloja una página, a un marketplace o a una red social, que elimine un contenido: puede ser un perfil, producto, publicación o página falsa.
Los proveedores reciben y procesan cientos de ese tipo de pedidos todos los días. Por ello, este es mi primer consejo importante para evitar las falsas expectativas: ni usted yo somos tan especiales como para saltarnos la fila de pedidos de eliminación de perfil de Facebook, Instagram, Google, etc. Más adelante voy a hablar más sobre esto, cuando toquemos el tema del SLA.
Normalmente el pedido se realiza por e-mail, a la dirección indicada por la plataforma. Si la plataforma no la tuviese, puede intentar con abuse@proveedor.com (descrito como correo estándar para envío de mensajes relacionados con abuso o comportamiento inapropiado por la RFC 2142 - MAILBOX NAMES FOR COMMON SERVICES, ROLES AND FUNCTIONS).
Algunas plataformas cuentan con canales web para la recepción de denuncias, con un formulario adecuado. Otras, poseen un botón de denuncia dentro de la interface del cliente. Facebook y Google, por ejemplo, reciben las denuncias a través de sus formularios, aunque también puede (y debe) denunciar dentro de la propia red social.
En algunas empresas, este asunto se trata dentro del departamento jurídico. La explicación es simple: el tema exige la creación de una notificación extrajudicial. Lo que ocurre en la práctica es que siempre que el tema sea remitido por el departamento jurídico, la otra parte —el proveedor— recibe la notificación en su propio departamento legal y, dependiendo del tono usado, el documento puede quedar mucho tiempo sin ser analizado.
El departamento jurídico puede llevar adelante el takedown siempre que se realice de manera simple —lo más simple posible— sin amenazas y en un tono amigable. Una notificación puede tener tres o cuatro párrafos y, créame, va a funcionar muy bien.
Todo lo que infringe alguna ley o norma de uso es pasible de takedown. Existen cuatro grandes grupos de infracciones beyond the firewall, o fuera de su perímetro:
Siempre puede solicitar la eliminación de su marca de contenidos online. Muchas empresas lo hacen. Basta con que compruebe que es el dueño de la marca. La excepción es la cita de contenido periodístico o en comentarios, que entra en el campo de la libertad de expresión (tocaré el tema más adelante).
Páginas falsas (phishing) o páginas creadas por estafa para engañar a los consumidores. Son casos más simples de eliminar, pero es importante presentar evidencias al sitio que aloja. Como algunas veces el contenido está en un idioma que este sitio no conoce, pueden requerirse explicaciones. El tema es que en los casos de fraude, el tiempo en que sigue en el aire cuenta mucho para el impacto.
Es cuando se exponen datos sensibles sobre personas (clientes o no) o datos empresariales considerados de uso interno y confidencial. Algunas plataformas son muy rápidas para eliminar este contenido, otras tienen muchas dificultades porque ese caso de uso no está incluido en su Condiciones de uso.
Anuncios de venta de productos falsos o venta no autorizada en canales digitales. Las grandes plataformas poseen políticas claras de eliminación de este tipo de contenido. El Brand Protection Program de Mercado Libre, el VeRO de eBay, entre otros, funcionan muy bien.
Solemos recibir los más variados pedidos de remoción de contenido infractor. A veces, nuestros clientes nos piden que eliminemos un comentario desagradable realizado en su app o una crítica compartida en una red social.
Los casos que involucran la opinión de personas sobre su empresa, sus productos o su servicio muy difícilmente serán eliminados. Usted debe estar pensando: “Ah, pero este fulano es un usuario fake que sólo está haciendo eso para perjudicar mi reputación”. Este tipo de evento se clasifica como el derecho que tienen las personas para difundir lo que no les gusta, ¡créame!
Algunos casos, cuando además de la opinión divulgan falsedades fáciles de comprobar, son la excepción. Por ejemplo, alguien que dice que determinado producto de una marca no funciona, siendo que la empresa objetivo del comentario no comercializa ese producto. En vez de intentar eliminar esos comentarios, brinde una buena respuesta e involucre al equipo de relaciones con la prensa para dejar el punto de vista de su empresa súper claro.
Este es un punto importante y quiero compartirlo con ustedes. Algunas personas preguntan cuánto tiempo lleva la eliminación de una página falsa (phishing) o un perfil falso en una red social. Este es otro consejo importante: no tiene sentido que el proveedor “venda” un SLA para eliminación de una página. Por supuesto, si quiere puede hacerlo... pero es muy poco probable que cumpla.
¿Pero esto por qué? Porque el takedown es un proceso que depende de un tercero —que usted conoce muy poco o casi nada— y que no está subordinado ni a usted ni a los intereses de su empresa. Recuerde, estamos hablando de notificaciones extrajudiciales.
Algunas veces oigo que alguien dice que logra eliminar más rápido en un determinado proveedor porque tiene un “conocido”. ¿Esto funciona? Funciona, sí. Ya lo hemos usado muchísimas veces y créame, tuvimos casos en los que involucramos a los directores, presidentes y hasta a dueños de empresas de alojamiento. El problema es que eso no es escalable. Si realiza algunos casos por año, puede contar con el apoyo de ese amigo, pero si necesita realizar cientos de pedidos de remoción, puede tener la seguridad de que su amigo lo va a bloquear al décimo pedido (incluso quizás antes).
Los procesos se crearon para funcionar y si existe algo que les gusta a los norteamericanos es seguir los procesos. Como la mayoría de las empresas notificadas son norteamericanas o controladas por grupos norteamericanos, lo mejor es acostumbrarse a entrar en el proceso. Insistir o intentar saltarse la fila puede colocarlo al final de ella.
También veo muy seguido empresas evaluando el éxito de su proceso de takedown a través del uso de la media del uptime. Uptime, para quien todavía no sabe, es cuánto tiempo estuvo online el sitio, desde la primera notificación hasta su eliminación.
Esta media no es confiable porque cuando hablamos de eliminación de contenido, existen muchas idas y venidas hasta que la compañía que aloja se convence de que ese contenido es infractor de verdad y está afectando sus derechos. Esto termina generando anormalidades que se transforman en outliers. Puede llegar a eliminar veinte casos en cinco horas, pero si tiene un caso que demora más de veinte días para que el takedown se concrete, entonces esta será la lectura de sus datos:
Uptime promedio: 27 horas
Parece malo, ¿verdad? Veintisiete horas en promedio para eliminar una infracción. Pero al final de cuentas el 95% de los casos fueron eliminados en cinco horas. Esto corrige las distorsiones en el análisis de datos.
Entonces, cuando monte su SLA para takedown, pregunte al proveedor cuál es el historial del tiempo de remoción distribuido en percentil. Algunos proveedores más sofisticados podrán informar este número por plataforma o ISP. Por ejemplo: 98% de los casos de Facebook son eliminados en hasta 24 horas.
Existen otros puntos muy relevantes en el SLA de un takedown. Es importante que se defina el MTTN (mean-time-to-notify), o sea, el tiempo que transcurre entre la decisión de que el sitio, perfil o app en cuestión es infractor y el envío de la notificación. Veo muchas empresas muy preocupadas por el uptime, pero muchas veces un caso detectado un viernes sólo puede ser notificado el lunes, o sea, se suman 48 horas al tiempo de exposición. Más tiempo de exposición, más riesgo para el consumidor y para su marca.
El proceso de solicitud de eliminación de contenido, como expliqué más arriba, es muy simple. Sin embargo, cuando se realiza en volúmenes grandes y para algunos casos más específicos, la complejidad puede aumentar mucho.
La ciberdelincuencia utiliza técnicas sofisticadas para que su página falsa sea visible sólo para algunos consumidores, algunas veces bloquean la visualización del contenido para los usuarios que estén fuera de determinada red. Esto dificulta mucho el trabajo porque además de las limitaciones de la propia internet, muchas veces es necesario acceder al contenido a partir de diferentes redes, ubicaciones, versiones de browser y resolución de pantalla. Todo esto sólo para asegurarse de que la página falsa realmente fue erradicada.
Más allá de estas cuestiones técnicas, es importante garantizar que haya recogido y almacenado todas las evidencias asociadas al caso, como HTML, screenshot, etc. Esto es importante para evitar contraargumentos del sitio que aloja o de cualquier otra parte que se pudiera sentir perjudicada. La gestión de los casos, al considerar el almacenamiento de evidencias y la contabilización del uptime, puede ser un gran desafío.
El asunto es apasionante y sin dudas está en la agenda de todos los que tratan con cybersecurity. Espero que el artículo haya sido de su agrado y que estos consejos lo ayuden a hacer de las experiencias digitales de sus clientes un journey más seguro, que es nuestro propósito en Axur.