Sobre Kaspersky, los antivirus y la competencia

Hace unas semanas la empresa antivirus Kaspersky realizó un experimento un tanto curioso, que sólo voy a resumir: creó falsas detecciones para archivos inofensivos, y los subió a Virus Total, un servicio que permite conocer qué antivirus detectan un archivo (un ejemplo, para que vean cómo funciona). Es decir, que si un usuario accedía a ese dato en Virus Total, vería que sólo Kaspersky detectaba la amenaza. El tema, es que Virus Total comparte todos los archivos con las casas antivirus, y a las pocas horas comenzaron a aparecer otras empresas antivirus que detectaban esos archivos, ¡a pesar de que eran inofensivos! Por si no se entendió, vamos de nuevo: ciertas empresas antivirus reciben el archivo, ven que Kaspersky lo detecta, y deciden que ese es motivo suficiente para detectarlo. Groso error. Conclusión: algunas empresas antivirus quedaron expuestas a un “papelón” por detectar archivos inofensivos y Kaspersky pudo darse el lujo de salir a la prensa y hacer un poco de ruido con la idea de “otras empresas nos copian”.

Si quieren conocer más en detalle sobre el incidente pueden ver el post que escribí en el Blog de Laboratorio de ESET Latinoamérica y también el post que escribió Bernardo Quintero en Hispasec, como siempre de lo mejor que se ha escrito al respecto.

Yo voy a continuar con algunas ideas más personales de lo que pude volcar en el blog de la empresa donde trabajo.

Vamos por parte, en primer lugar, vamos a pegarle un poquito (no mucho) a las empresas antivirus que cayeron en la trampa (creo que es la palabra que más justo describe lo que Kaspersky dio a llamar por experimento). Un papelón. Esa es la palabra. Detectar un archivo sólo porque lo detecta la competencia no respeta las practicas mínimas de calidad que un laboratorio antivirus debería ofrecer a sus usuarios. Está claro que con la magnitud de códigos maliciosos es imposible analizar cada archivo manualmente, y que la detección de la competencia debería ser un factor a considerar, pero no así. Peor aún es ver que empresas “grandes” (¿en calidad o en marketing?) como Symantec o McAfee estuvieron involucradas. Digo, no me extraña que alguna empresa pequeña no tenga los recursos suficientes en el laboratorio, entonces tome las detecciones de otro… ¿pero estos grosos? Mmm… flojo ahí.

Pero en segundo lugar me gustaría analizar lo que hizo Kaspersky, y me encantaría escuchar sus opiniones. ¿Está bien lo que hizo? Voy a dar dos puntos de vistas y saben que no me molesto en dar mi opinión, pero en este caso no puedo decidirme.

Postura 1: Kaspersky estuvo mal. A pesar de que se dio el lujo de quedar bien con el “éxito” de su “experimento”, esa no es la forma en que deben relacionarse las competencias. Sin lugar a dudas, es más lo que perdió en credibilidad la industria antivirus en general que las compañías que cayeron en la trampa en particular o lo que “ganó” Kaspersky por esto. Esa no es la forma. Hay sobrados intentos de las empresas antivirus por privilegiar la seguridad del usuario por sobre la competencia (manteniendo esta que es necesaria para sostener el negocio), por ejemplo, compartiendo archivos y conocimientos diariamente. Tuve la suerte hace unos años de asistir a un importante congreso de seguridad antivirus, y la excelente relación entre el personal técnico de las empresas antivirus es muy interesante. Kaspersky embarró la cancha. Les tendió una trampa a sus colegas y eso ¿no se hace?. Yo me imagino a un equipo de fútbol. Los jugadores compiten entre sí por ser titulares, nadie quiere quedarse afuera. Pero la competencia debe ser sana, a nadie le gustaría que un jugador se gane la titularidad con métodos no éticos, con trampas o mentiras. Me da la sensación que luego de esto se va a montar un campo de dudas en la industria y que eso puede en última instancia, de nuevo, perjudicar a la industria en general, y ni hablar al usuario que no podrá aprovechar los trabajos conjuntos de las diversas emprsas.

Postura 2: Kaspersky estuvo bien. La prioridad son los usuarios, y estos tienen derecho a saber cuando ciertas empresas no están siendo lo suficientemente serias como deben ser. Al fin y al cabo, las empresas que están haciendo esto tampoco son muy honestas con sus usuarios, vendiendo un software que no deja de ser “la copia” de las detecciones de otro. O sea, todo bien con la camaradería pero siempre y cuando no se hagan trampas como la de las detecciones. En ese caso, Kaspersky tiene el derecho de demostrar lo que otras empresas están haciendo. Al fin y al cabo, alertar al usuario sobre la falta de seriedad de estas empresas es un beneficio para su seguridad. Ahora, sabrán que les conviene comprar Kaspersky o bien otras de las empresas que no cayeron en la trampa (sí, en ESET no caímos en la trampa así que también pueden darme de comer un poco, je). Aunque no trabajo en la creación de firmas, a mí mismo me da bronca que otras empresas hagan eso, y me generó una especia de placer lo que hizo Kaspersky: desenmascarar a los poco serios. Las empresas tienen el derecho de colaborar entre sí, pero la obligación de ayudar al usuario, y eso hizo Kaspersky.

¿Y ustedes, en qué postura están?