La ciudad de Seattle ofreció por error 32M de correos electrónicos por 40 dólares (2018)

• El autor Matt Chapman solicitó metadatos de correos electrónicos a la ciudad de Seattle como parte de un proyecto más grande para mapear las comunicaciones de todo Estados Unidos.
• Al principio, la ciudad estimó el costo de la solicitud en 33 millones de dólares, citando el tiempo que tomaría revisar cada correo electrónico.
• Más tarde, la ciudad corrigió la estimación y pidió 1.25 dólares por dos días de registros.
• La ciudad proporcionó al autor metadatos de aproximadamente 32 millones de correos electrónicos, pero por error incluyó los primeros 256 caracteres de cada correo.
• Los datos incluidos contenían información sensible como nombres de usuario, contraseñas, números de tarjeta de crédito, números de Seguro Social y detalles de investigaciones en curso de la policía y el FBI.
• El autor notificó a la ciudad sobre la filtración de datos y se le pidió que eliminara todos los archivos. Además, la ciudad propuso contratar a una empresa para escanear el disco duro del autor y verificar la eliminación.
• El autor eliminó los archivos y entregó una declaración jurada para confirmar la eliminación.
• Más tarde, la ciudad comenzó a enviar los metadatos de correos electrónicos solicitados, excluyendo los datos del departamento de policía y del departamento de servicios humanos.
• El autor está usando estos datos para crear un modelo de la red de comunicaciones de la ciudad.
• El autor también menciona intentos legislativos en Washington para eliminar la obligación de divulgar muchos registros, incluidos los intercambios de correos electrónicos. Ese proyecto de ley fue vetado por el gobernador.

[GN⁺]

Opiniones en Hacker News

• La ciudad de Seattle reveló por error al autor más información sensible de la que pretendía.
• El autor podría haber usado los datos como quisiera si no hubiera notificado a la ciudad sobre su error.
• Existe una cuestión legal sobre si el autor tenía derecho a conservar los datos, similar a la jurisprudencia sobre propiedad física o dinero entregado por error.
• El autor aceptó cooperar con la solicitud de la ciudad de no conservar los datos, a pesar de que el error fue de la propia ciudad.
• La TI gubernamental suele ser cara y problemática, con fallas como distintos formatos de fecha en formularios web y funciones de restablecimiento de contraseña que no funcionan.
• La solicitud inicial de datos del autor fue malinterpretada, por lo que la ciudad exportó encabezados de correo electrónico truncados desde valores codificados de forma fija.
• La ciudad solo lo tomó en serio después de que el autor señalara su error.
• Se sabe que algunos organismos públicos amenazan a personas que solicitan datos públicos o les cobran tarifas excesivas por los registros.
• Le informaron al autor que Seattle estaba considerando presentar cargos bajo la Computer Fraud and Abuse Act (CFAA) por la información que le enviaron.
• En Europa, almacenar o procesar información relacionada con personas, como quién contactó a quién y cuándo, solo está permitido cuando es necesario.
• Solicitar todos los correos enviados o recibidos por direcciones de email propiedad de Seattle en 2017 podría exponer información personal de empleados públicos y de las personas con las que interactúan.
• Como el blog del autor no se ha actualizado desde hace tiempo, surgen dudas sobre si todavía sigue trabajando con la FOIA.