¿Es seguro Dropbox? Seguridad de datos y cifrado

Dropbox protege tus datos con medidas de seguridad como cifrado, permisos de acceso, au­te­n­ti­ca­ción en dos factores y al­ma­ce­na­mie­n­to geo­grá­fi­ca­me­n­te re­du­n­da­n­te. Esto puede resultar es­pe­cia­l­me­n­te im­po­r­ta­n­te si te preguntas si es seguro Dropbox para guardar fotos, archivos pe­r­so­na­les o do­cu­me­n­tos de empresa. Sin embargo, debido a la ubicación de sus se­r­vi­do­res y de la propia empresa, la apli­ca­ción del RGPD está sujeta a medidas y li­mi­ta­cio­nes adi­cio­na­les.

Dropbox: seguridad y pri­va­ci­dad

• Para proteger tus datos en la nube, Dropbox utiliza cifrado AES de 256 bits para los datos al­ma­ce­na­dos y cifrado TLS de al menos 128 bits durante las cargas y descargas.
• Dropbox también ofrece au­te­n­ti­ca­ción en dos factores, controles de acceso, secreto directo perfecto (Perfect Forward Secrecy), fijación de ce­r­ti­fi­ca­dos (Ce­r­ti­fi­ca­te Pinning) y centros de datos geo­grá­fi­ca­me­n­te re­du­n­da­n­tes. El cifrado de extremo a extremo real, basado en un modelo de co­no­ci­mie­n­to cero (Zero Knowledge), solo está di­s­po­ni­ble de forma opcional para de­te­r­mi­na­dos co­n­te­ni­dos y no forma parte de la co­n­fi­gu­ra­ción estándar.
• Hay dos puntos críticos en materia de pro­te­c­ción y soberanía de los datos: en sus términos y co­n­di­cio­nes, Dropbox se reserva derechos de acceso limitados a los datos de los usuarios. Además, utiliza pri­n­ci­pa­l­me­n­te cifrado del lado del servidor, por lo que el proveedor podría acceder té­c­ni­ca­me­n­te a los datos. Como empresa es­ta­dou­ni­de­n­se, Dropbox está sujeta al Cloud Act, que según algunos expertos no es co­m­pa­ti­ble con los es­tá­n­da­res europeos de pro­te­c­ción de datos del RGPD. Aun así, Dropbox se presenta como co­m­pa­ti­ble con el RGPD.

¿Qué técnicas de cifrado utiliza Dropbox?

Para las empresas que almacenan datos en se­r­vi­do­res de terceros, los métodos de cifrado de los datos guardados, también conocidos como datos en reposo, son es­pe­cia­l­me­n­te im­po­r­ta­n­tes. Como uno de los servicios en la nube más antiguos y conocidos, Dropbox ofrece varias funciones de cifrado para proteger tus datos en la nube.

Cifrado AES de 256 bits

El cifrado de Dropbox causa una primera impresión positiva, ya que el servicio utiliza cifrado AES de 256 bits para todos los datos al­ma­ce­na­dos en la nube. Este estándar de cifrado avanzado se considera una de las técnicas de cifrado más seguras y lo utilizan or­ga­ni­s­mos y empresas de todo el mundo. Para hacerse una idea, descifrar un cifrado de 128 bits, que es menos robusto, ya re­que­ri­ría varios miles de millones de años. Por tanto, Dropbox ofrece una pro­te­c­ción muy alta frente a los ataques de fuerza bruta.

TLS/SSL y cifrado de 128 bits

Los datos no solo deben estar pro­te­gi­dos cuando se almacenan en la nube, sino también durante las cargas y descargas. Por eso, Dropbox utiliza los métodos de cifrado TLS y SSL, siglas de “Transport Layer Security” y “Secure Sockets Layer”. Así, tus datos se tra­n­s­mi­ten a través de un túnel protegido con cifrado AES-128. En la práctica, esto hace que in­te­r­ce­p­tar y descifrar las tra­n­s­mi­sio­nes de datos, también conocidas como datos en tránsito, resulte ex­tre­ma­da­me­n­te difícil.

Modelo de co­no­ci­mie­n­to cero y cifrado de extremo a extremo

El modelo de co­no­ci­mie­n­to cero (Zero Knowledge) significa que cifras tus datos antes de subirlos a la nube, de modo que el servicio en la nube no puede leerlos. Este principio está es­tre­cha­me­n­te re­la­cio­na­do con el cifrado de extremo a extremo (E2EE), en el que los datos solo se descifran en los di­s­po­si­ti­vos de los usuarios. En 2022, Dropbox adquirió la te­c­no­lo­gía de la empresa alemana Bo­x­cr­y­p­tor para integrar estas funciones a largo plazo en su propio servicio.

Ac­tua­l­me­n­te, Dropbox ofrece cifrado de extremo a extremo para de­te­r­mi­na­dos co­n­te­ni­dos, por ejemplo en algunos planes para empresas y carpetas se­le­c­cio­na­das. Sin embargo, esta forma de cifrado no está activada por defecto para todos los archivos. En el uso habitual, Dropbox sigue uti­li­za­n­do cifrado del lado del servidor, lo que significa que el proveedor podría acceder té­c­ni­ca­me­n­te a los datos.

¿Qué derechos de acceso tiene Dropbox?

Si utilizas un servicio en la nube, conviene revisar antes sus co­n­di­cio­nes generales. En ellas se explica qué derechos de acceso se reserva el proveedor para poder prestar el servicio. En el caso de Dropbox, las co­n­di­cio­nes mencionan derechos de acceso limitados a los datos al­ma­ce­na­dos del lado del servidor.

Para los usuarios, esto implica lo siguiente:

• Dropbox puede procesar los datos por motivos técnicos.
• Los co­n­te­ni­dos no son co­m­ple­ta­me­n­te “in­vi­si­bles” para el proveedor.
• Para tener control total, necesitas un cifrado adicional del lado del cliente.

¿Qué permisos de uso y derechos de acceso tienen los usuarios de Dropbox?

Además de los derechos de acceso limitados del proveedor a tus datos, la seguridad en la nube también depende de las opciones para trabajar en archivos de forma co­la­bo­ra­ti­va con otras personas. En este caso, lo im­po­r­ta­n­te es que puedas decidir quién ve cada archivo y quién no.

Para ello, Dropbox ofrece, en esencia, los mismos permisos para compartir archivos que la mayoría de al­te­r­na­ti­vas a Dropbox. Puedes decidir por cada archivo o carpeta qué personas obtienen acceso, compartir un enlace con ellas y revocar esos permisos en cualquier momento. Además, puedes es­ta­ble­cer si las personas au­to­ri­za­das solo pueden leer los archivos o si también pueden editarlos.

Pro­te­c­ción de la cuenta mediante au­te­n­ti­ca­ción en dos factores

Con la au­te­n­ti­ca­ción en dos factores (2FA) opcional, puedes proteger tu cuenta de Dropbox frente a accesos no au­to­ri­za­dos. Primero debes activar esta función en tu cuenta. A partir de ese momento, además de tu co­n­tra­se­ña, ne­ce­si­ta­rás un código de seguridad que puedes recibir por SMS en el número de teléfono re­gi­s­tra­do o generar con una apli­ca­ción de au­te­n­ti­ca­ción como Google Au­the­n­ti­ca­tor. La ve­ri­fi­ca­ción en dos pasos es un estándar que hoy debería ofrecer cualquier servicio serio para compartir, almacenar y editar datos.

Re­cu­pe­ra­ción de la cuenta

Tanto si olvidas tu co­n­tra­se­ña como si alguien accede a tu cuenta sin permiso o eliminas la cuenta equi­vo­ca­da por error, una opción de re­cu­pe­ra­ción de la cuenta también forma parte de los es­tá­n­da­res de seguridad en la nube. En el plan gratuito Dropbox Basic y en la su­s­cri­p­ción Dropbox Plus, puedes solicitar la re­cu­pe­ra­ción de archivos y de la cuenta durante un plazo de hasta 30 días. En otros planes de pago, como Es­se­n­tia­ls o Business, el plazo se amplía hasta 180 días. Con Business Plus, dispones de hasta 365 días para recuperar datos y cuentas, así como para restaurar la cuenta.

¿Qué pro­te­c­ción ofrece Dropbox frente a ci­ber­ata­ques?

Si almacenas datos en un servicio en la nube, debes poder confiar en que el proveedor aplica medidas de seguridad su­fi­cie­n­tes frente a ci­ber­ata­ques. Dropbox refuerza la seguridad en la nube con varias medidas de pro­te­c­ción estándar contra ci­ber­ata­ques, como también hacen otros servicios conocidos como Google Drive o iCloud.

Pro­te­c­ción técnica:

• alta seguridad de los centros de datos gracias a la re­du­n­da­n­cia geo­grá­fi­ca
• cifrado moderno con AES de 256 bits para datos en reposo, es decir, durante el al­ma­ce­na­mie­n­to
• cifrado TLS con AES de 128 bits para datos en tránsito, es decir, durante la tra­n­s­mi­sión
• secreto directo perfecto (Perfect Forward Secrecy), que impide descifrar los datos po­s­te­rio­r­me­n­te gracias a claves de sesión no re­co­n­s­trui­bles
• fijación de ce­r­ti­fi­ca­dos (Ce­r­ti­fi­ca­te Pinning), que garantiza que las co­ne­xio­nes se realicen solo con se­r­vi­do­res au­to­ri­za­dos

Seguridad de la cuenta:

• au­te­n­ti­ca­ción en dos factores opcional
• pro­te­c­ción integrada mediante co­n­tra­se­ña segura
• controles de acceso

Gestión de datos:

• copias de seguridad au­to­má­ti­cas
• si­n­cro­ni­za­ción
• re­s­tau­ra­ción de cuentas y archivos

A pesar de estas medidas de seguridad, Dropbox presenta una debilidad relevante en la pro­te­c­ción frente a ci­ber­ata­ques. En las cargas y descargas no ofrece una pro­te­c­ción contra malware tan completa y si­s­te­má­ti­ca como la de las so­lu­cio­nes de seguridad es­pe­cia­li­za­das.

Cómo mejora la IA la seguridad de Dropbox

Dropbox utiliza in­te­li­ge­n­cia ar­ti­fi­cial para mejorar la seguridad y el control de los datos dentro de la pla­ta­fo­r­ma, por ejemplo, con funciones como Dropbox Dash. Para ello, la IA puede acceder a los co­n­te­ni­dos de tu cuenta de Dropbox y a las he­rra­mie­n­tas co­ne­c­ta­das, con el objetivo de detectar riesgos de seguridad y gestionar mejor los accesos.

En concreto, la IA de Dropbox puede reforzar la seguridad en estas áreas:

• Detección de riesgos: ide­n­ti­fi­ca accesos inusuales o elementos co­m­pa­r­ti­dos de forma po­te­n­cia­l­me­n­te insegura, como enlaces públicos
• Control de accesos: analiza los permisos au­to­má­ti­ca­me­n­te para que puedan revisarse o ajustarse de forma ce­n­tra­li­za­da
• Tra­n­s­pa­re­n­cia: ayuda a ver con más claridad quién tiene acceso a qué co­n­te­ni­dos y dónde puede haber brechas de seguridad

Al mismo tiempo, el uso de la IA está sujeto a co­n­di­cio­nes claras:

• Tra­ta­mie­n­to de datos para la IA: los co­n­te­ni­dos se analizan para ofrecer funciones como búsquedas o resúmenes
• In­te­gra­ción de servicios de IA externos: en de­te­r­mi­na­dos casos, los co­n­te­ni­dos re­le­va­n­tes se tra­n­s­mi­ten a pro­vee­do­res externos ve­ri­fi­ca­dos
• Sin en­tre­na­mie­n­to con datos de usuarios: según Dropbox, los co­n­te­ni­dos no se utilizan para entrenar sus propios modelos de IA

In­ci­de­n­tes de seguridad conocidos en Dropbox

Como servicio en la nube activo desde 2008, Dropbox ha sufrido varios in­ci­de­n­tes de seguridad a lo largo de los años. Entre los más conocidos se en­cue­n­tran los si­guie­n­tes:

• 2011: un error de ac­tua­li­za­ción permitió durante varias horas acceder a cualquier cuenta de Dropbox usando solo la dirección de correo ele­c­tró­ni­co asociada.
• 2012: la cuenta co­m­pro­me­ti­da de una persona empleada de Dropbox derivó en la fi­l­tra­ción de unos 68 millones de datos pe­r­so­na­les, incluidas di­re­c­cio­nes de correo ele­c­tró­ni­co y co­n­tra­se­ñas. La brecha puso de ma­ni­fie­s­to que el acceso interno a los datos en la nube puede suponer un riesgo de seguridad.
• 2017: archivos de hasta seis años de an­ti­güe­dad volvieron a aparecer en las cuentas de algunos usuarios. El incidente generó dudas sobre si Dropbox eliminaba de forma de­fi­ni­ti­va todos los datos borrados.
• 2022: se supo que atacantes habían robado unos 130 re­po­si­to­rios de código fuente a través de la cuenta co­m­pro­me­ti­da de una persona empleada. Entre el código sustraído había pro­to­ti­pos internos, he­rra­mie­n­tas de seguridad y copias de bi­blio­te­cas.
• 2024: atacantes ob­tu­vie­ron acceso a la in­frae­s­tru­c­tu­ra de pro­du­c­ción de Dropbox Sign y pudieron robar datos pe­r­so­na­les de clientes.

¿Qué papel juega el Cloud Act para Dropbox?

Dropbox es una empresa es­ta­dou­ni­de­n­se cuyos se­r­vi­do­res en la nube se en­cue­n­tran pri­n­ci­pa­l­me­n­te en EE. UU. Por tanto, está sujeta al Cloud Act. Esta ley, aprobada en 2018, permite a las au­to­ri­da­des de EE. UU. acceder bajo de­te­r­mi­na­das co­n­di­cio­nes a los datos en la nube de empresas es­ta­dou­ni­de­n­ses. Esto también puede afectar a los datos de clientes, aunque estén al­ma­ce­na­dos en se­r­vi­do­res dentro de la UE. En caso necesario, Dropbox puede estar obligada a entregar datos de usuarios, incluso si no se en­cue­n­tran en EE. UU. Además, las so­li­ci­tu­des de acceso pueden tra­mi­tar­se mediante distintos in­s­tru­me­n­tos legales, según el tipo de datos y las ci­r­cu­n­s­ta­n­cias del caso. Por ello, el Cloud Act limita la po­si­bi­li­dad de ga­ra­n­ti­zar una pro­te­c­ción de datos completa solo mediante la ubicación de los se­r­vi­do­res.

Desde 2023, el EU-US Data Privacy Framework, es decir, el marco de pri­va­ci­dad de datos entre la UE y EE. UU., vuelve a ofrecer una base jurídica para las tra­n­s­fe­re­n­cias de datos entre la UE y Estados Unidos. Este acuerdo permite tra­n­s­fe­rir datos pe­r­so­na­les a empresas es­ta­dou­ni­de­n­ses ce­r­ti­fi­ca­das y busca ga­ra­n­ti­zar un nivel adecuado de pro­te­c­ción de datos. Aun así, el Data Privacy Framework no elimina por completo las po­si­bi­li­da­des de acceso por parte de las au­to­ri­da­des es­ta­dou­ni­de­n­ses. La co­mpu­tación en la nube o cloud computing conforme al RGPD es posible en principio, pero requiere medidas adi­cio­na­les, como contratos de encargo de tra­ta­mie­n­to, eva­lua­cio­nes de riesgos y me­ca­ni­s­mos técnicos de pro­te­c­ción.

¿Cumple Dropbox los es­tá­n­da­res de pro­te­c­ción de datos para empresas?

En materia de seguridad y soberanía de los datos, las empresas deben valorar si Dropbox es adecuado para un uso pro­fe­sio­nal. En principio, el servicio cumple muchos re­qui­si­tos im­po­r­ta­n­tes de cu­m­pli­mie­n­to normativo y pro­te­c­ción de datos gracias a su cifrado avanzado, sus controles de acceso y sus ce­r­ti­fi­ca­cio­nes re­co­no­ci­das in­te­r­na­cio­na­l­me­n­te.

Entre las ce­r­ti­fi­ca­cio­nes de Dropbox se incluyen:

• ISO 27001 para la gestión de la seguridad de la in­fo­r­ma­ción
• ISO 27017 para la seguridad en la nube
• ISO 27018 para la pro­te­c­ción de datos en la nube
• ISO 27701 para la gestión de la in­fo­r­ma­ción de pri­va­ci­dad
• Informes de auditoría SOC 1, SOC 2 y SOC 3
• Ce­r­ti­fi­ca­ción CSA STAR Nivel 2

Or­ga­ni­s­mos in­de­pe­n­die­n­tes revisan estos es­tá­n­da­res pe­rió­di­ca­me­n­te y confirman un alto nivel de seguridad, además de procesos es­tru­c­tu­ra­dos para proteger los datos.

Al igual que otros servicios en la nube como Google Drive o iCloud, Dropbox ofrece un estándar de seguridad sólido que permite su uso en entornos pro­fe­sio­na­les. No obstante, la tra­n­s­fe­re­n­cia de datos sensibles de empresas a pro­vee­do­res es­ta­dou­ni­de­n­ses en co­m­bi­na­ción con el Cloud Act sigue siendo un punto crítico im­po­r­ta­n­te.

Además, las empresas deben adoptar sus propias medidas para ga­ra­n­ti­zar una pro­te­c­ción de datos conforme al RGPD. Entre las más im­po­r­ta­n­tes se incluyen:

• firmar un contrato de encargo de tra­ta­mie­n­to o DPA
• utilizar cláusulas co­n­tra­c­tua­les tipo o SCC
• realizar eva­lua­cio­nes de riesgos y de tra­n­s­fe­re­n­cias
• definir políticas internas de pro­te­c­ción de datos

Resumen: ¿es Dropbox seguro?

En resumen, Dropbox ofrece un alto nivel de seguridad para los datos en la nube gracias a su cifrado moderno, sus centros de datos pro­te­gi­dos y sus numerosas funciones de seguridad. A esto se suman ce­r­ti­fi­ca­cio­nes re­co­no­ci­das in­te­r­na­cio­na­l­me­n­te e informes de auditoría SOC, que revisan pe­rió­di­ca­me­n­te los procesos de seguridad y pro­te­c­ción de datos.

Sin embargo, siguen exi­s­tie­n­do algunas li­mi­ta­cio­nes. El cifrado de extremo a extremo real no está activado por defecto para todos los co­n­te­ni­dos y, debido al cifrado del lado del servidor, el proveedor podría acceder té­c­ni­ca­me­n­te a los datos. Además, los in­ci­de­n­tes de seguridad an­te­rio­res, las posibles opciones de acceso por parte del proveedor y marcos legales como el Cloud Act son factores im­po­r­ta­n­tes que conviene tener en cuenta, es­pe­cia­l­me­n­te cuando se tratan datos sensibles de empresas.

Si te preguntas qué nube es la más segura o quieres saber si Dropbox es seguro para guardar fotos, do­cu­me­n­tos pe­r­so­na­les o datos de empresa, no deberías fijarte solo en las medidas técnicas de seguridad, sino también en el marco legal. En el caso de Dropbox, los es­tá­n­da­res europeos de pro­te­c­ción de datos no se cumplen ple­na­me­n­te sin medidas adi­cio­na­les. Por eso, para datos es­pe­cia­l­me­n­te sensibles puede ser re­co­me­n­da­ble optar por un servicio europeo al­te­r­na­ti­vo con se­r­vi­do­res en España u otros países de la UE.