Claudio Ochoa Huerta
___________________________
No necesitas ser un hacker ni haber estudiado alguna ingeniería en sistemas. Alguien con conocimientos mínimos de programación podía vulnerar sus servidores”. Esa es la frase de saque dicha por una fuente que conoció hasta la médula a la empresa Territorium Life, contratada por la UNAM para realizar el examen de admisión a más de 150 mil jóvenes y por primera vez en línea. El resultado es conocido por todos: un desastre.
La fuente, que tuvo acceso en distintos años y en distintos episodios a los sistemas desarrollados por Territorium Life, narró para esta columna la serie de fallas e incumplimientos de una empresa que acumula contratos millonarios con distintas oficinas del gobierno y universidades públicas, como constató El Universal a lo largo de la semana.
Por ejemplo, en 2019, la Universidad Digital del Estado de México compró a Territorium Life la plataforma de aprendizaje en línea LMS por 8 millones de pesos. Ese trato terminó en pleito judicial porque la universidad, dependiente del gobierno, alega que no le entregaron las funcionalidades necesarias y prometidas. Esa disputa continúa a la fecha.
En 2020, la Universidad Autónoma de Nuevo León contrató a Territorium Life para que implementara los exámenes en línea para el ingreso a las licenciaturas y también los exámenes globales de preparatoria. La pandemia de Covid en ese año cayó como anillo al dedo a la empresa porque la UANL otorgó los contratos de adjudicación directa ante la crisis de salud.
A los pocos días, detectaron el robo de las respuestas que luego terminaron siendo vendidas, gracias a fallas con su servidor, específicamente en los Endpoints de API. Imaginemos que la plataforma es un edificio con muchas ventanas. Cada una sirve para pedir algo distinto: usuarios, calificaciones, etc. Un Endpoint es una ventana. El API es el mecanismo con el que la página “habla” con el servidor.
Cuando haces clic en “ver examen” la página le pide al servidor el examen mediante la API. Esto significa que la fuente descubrió cuáles eran esas ventanas y cómo hacerles peticiones sin usar la interfaz normal de la página. Repitió la misma petición una y otra vez para obtener cientos de exámenes.
Lo peor del caso es que con esos antecedentes, no solo la UNAM sino que el Gobierno Federal también contrató a Territorium Life para la plataforma SABERES. En noviembre del año pasado, la presidenta Sheinbaum anunció que ahí brindarían cursos en línea para capacitación gratuita en matemáticas, arte, literatura, salud e idiomas, entre otros. SABERES funciona con la misma base de todos los sistemas vulnerables de Territorium Life y está programada de manera deficiente.
Al revisar la consola del navegador, la fuente explica que aparecen logos con emojis, lo que indica una preparación alejada del mínimo requerido profesionalmente. No solo eso: el sistema para emitir certificados de cursos es fácilmente vulnerable.
Stent:
Detrás de la contratación para SABERES, las señales apuntan al subsecretario de Educación Superior de la SEP, Ricardo Villanueva.
claudio8ah@gmail.com
