Respuesta de Cloudflare ante material en línea sobre abuso sexual infantil

Brindar una respuesta ante los incidentes relacionados con el material en línea sobre abuso sexual infantil ha sido una prioridad para Cloudflare desde el principio. Las historias sobre víctimas de abuso sexual infantil son trágicas y sacan a relucir un aspecto espantoso de Internet. Cuando se trata de abuso sexual infantil, nuestra posición es clara: No lo toleramos. Nos resulta aborrecible. Es un delito, y hacemos todo lo posible para apoyar los procesos para identificar y eliminar ese contenido.

En 2010, a los pocos meses del lanzamiento de Cloudflare, nos comunicamos con el Centro Nacional de Niños Desaparecidos y Víctimas de la Explotación (NCMEC) y comenzamos un proceso de colaboración para comprender nuestro rol y cómo podríamos cooperar con ellos. Durante años, hemos estado comunicados con una serie de grupos de gobierno y de apoyo para determinar lo que Cloudflare debe y puede hacer para responder a las denuncias sobre abuso sexual infantil que recibimos a través de nuestro proceso de detección de abuso, o cómo podemos brindar información de apoyo para investigaciones de sitios web mediante los servicios de Cloudflare.

Recientemente, 36 empresas tecnológicas, entre las que se encuentra Cloudflare, recibieron esta carta de un grupo de senadores de Estados Unidos en donde se solicitaba más información sobre cómo manejamos el contenido de abuso sexual infantil. Los senadores hicieron referencia a los importantes artículos publicados en el New York Times a fines de septiembre y a principios de noviembre, donde se trata el tema de la preocupante cantidad de imágenes de abuso sexual infantil en Internet, con detalles gráficos sobre las horrorosas fotos y cómo el hecho de hacer recircular las imágenes vuelve a traumatizar a las víctimas. Los artículos se centraron en las deficiencias y los desafíos de llevar a los violadores ante la justicia, y a las iniciativas, o a la falta de estas, por parte de un grupo de empresas tecnológicas, que incluyen Amazon, Facebook, Google, Microsoft y Dropbox, para erradicar la mayor cantidad posible de este material a través de procesos existentes o de nuevas herramientas como PhotoDNA que podrían identificar de manera preventiva el material sobre abuso sexual infantil.

Creemos que es importante compartir la respuesta que dimos a los senadores (copiada al final de este artículo del blog), hablar públicamente sobre lo que hemos hecho en este espacio y sobre qué otras cosas creemos que se pueden hacer.

A partir de nuestro trabajo con el Centro Nacional de Niños Desaparecidos y Víctimas de la Explotación (National Center for Missing and Exploited Children, NCMEC), sabemos que están haciendo todo lo posible para validar la legitimidad de los informes de material de abuso sexual infantil (Child Sexual Abuse Material, CSAM) y actuar lo más rápido posible para que los operadores de los sitios web, los moderadores de plataformas o los hosts de sitios web eliminen ese contenido de Internet. Si bien a Cloudflare no le corresponde eliminar contenido de Internet para los usuarios de nuestros principales servicios, hemos trabajado constantemente durante años para entender cómo podemos contribuir con estas iniciativas.

La primera respuesta de Cloudflare ante el material de abuso sexual infantil es la denuncia correspondiente de cada una de las acusaciones que recibimos. Cada denuncia que recibimos sobre el contenido de un sitio web, que usa los servicios de Cloudflare, bajo la categoría de “pornografía infantil” en nuestra página de denuncias de abuso, da lugar a tres medidas:

1. Enviamos la denuncia al Centro Nacional de Niños Desaparecidos y Víctimas de la Explotación (NCMEC). Además del contenido de la denuncia presentada a Cloudflare, brindamos al NCMEC la información que identifica al proveedor de alojamiento del sitio web, la información de contacto de ese proveedor de alojamiento y la dirección IP de origen donde se puede encontrar el contenido en cuestión.

2. Enviamos la denuncia tanto al operador del sitio web como al proveedor de alojamiento, para que estos puedan tomar medidas y eliminar el contenido. Además, proporcionamos la dirección de IP de origen del lugar donde se encuentra el contenido en el sistema, para que se pueda localizar rápidamente el contenido. (Desde 2017, ofrecemos a las partes denunciantes la oportunidad de presentar una denuncia anónima si desean que el host o el operador del sitio web no conozcan su identidad).

3. Brindamos a todo el que hace una denuncia la información sobre la identidad del proveedor de alojamiento e información de contacto de ese proveedor en caso de que el denunciante desee hacer un seguimiento directamente.

Desde el inicio de nuestras actividades, Cloudflare ha enviado 5208 denuncias a NCMEC. En los últimos tres años, hemos proporcionado 1111 denuncias en 2019 (hasta la fecha), 1417 en 2018 y 627 en 2017.

Las denuncias presentadas en la categoría “pornografía infantil” representan aproximadamente el 0,2 % de las quejas de abuso que recibe Cloudflare. Nuestro equipo de confidencialidad y seguridad da a estas denuncias la mayor prioridad y las envía al primer lugar de la lista de denuncias de abuso. Por lo general, respondemos mediante la presentación de la denuncia ante el NCMEC y brindamos la información adicional en cuestión de minutos, independientemente de la hora o el día de la semana.

En segundo lugar, ponemos en marcha nuestro programa de “denunciante confiable” para brindar la información relevante que apoye las investigaciones de casi 60 organizaciones de protección infantil de todo el mundo. El programa “denunciante confiable” se estableció en respuesta a nuestro trabajo constante con estas organizaciones y a sus solicitudes de información sobre el proveedor de alojamiento de los sitios web en cuestión, y de la información sobre la dirección de IP de origen del contenidoo en cuestión. La información de IP de origen que, por lo general, es información delicada porque permitiría a los piratas informáticos eludir ciertas protecciones de seguridad para un sitio web, como las protecciones DDoS, se proporciona a estas organizaciones a través de canales exclusivos de manera urgente.

Al igual que el NCMEC, estas organizaciones deben investigar las denuncias del material de abuso sexual infantil en los sitios web o proveedores de alojamiento que se operan fuera de sus jurisdicciones locales, y buscar los recursos para identificar y contactar a esas partes lo antes posible para que eliminen el contenido. Los participantes del programa “denunciante confiable” incluyen grupos como Internet Watch Foundation (IWF), INHOPE Association, Australian eSafety Commission y Meldpunt. En los últimos cinco años, hemos respondido más de 13 000 solicitudes de IWF y a más de 5000 solicitudes de Meldpunt. Respondemos a este tipo de solicitudes el mismo día y, por lo general, en un par de horas. De igual manera, Cloudflare también recibe y responde solicitudes de la ley del orden para obtener información para investigaciones relacionadas con materiales de abuso sexual infantil o explotación de menores.

Entre este grupo, el Centro Canadiense de Protección de la Infancia ha participado de una iniciativa única que merece una mención especial. El programa Cybertip de este centro opera su iniciativa Project Arachnid, un enfoque novedoso que utiliza una araña web automatizada que hace búsquedas preventivas en Internet para identificar imágenes que coincidan con un hash de CSAM conocido, y luego alerta a los proveedores de alojamiento cuando hay una coincidencia. En función de nuestro trabajo constante con Project Arachnid, hemos respondido a más de 86 000 denuncias al brindar información sobre el proveedor de alojamiento y proporcionar la dirección IP de origen, que entendemos que utilizan para contactar a ese proveedor de alojamiento directamente con esa denuncia y otras denuncias posteriores.

Si bien, por lo general, procesamos estas denuncias en cuestión de horas, hemos escuchado de los participantes de nuestro programa de “denunciante confiable” que una respuesta que no respondemos de manera instantánea genera fricción en sus sistemas. Quieren tener la posibilidad de consultar nuestros sistemas directamente para obtener el proveedor de alojamiento y la información de IP de origen, o mejor aún, tener la posibilidad de generar extensiones en sus sistemas automatizados que podrían interactuar con los datos en nuestros sistemas para eliminar cualquier demora. Esto resulta especialmente importante para las personas de Project Arachnid del Centro Canadiense, que desean que nuestra información sea parte de su sistema automatizado.  Después de analizar esta solución por un tiempo, ahora tenemos un camino a seguir. Además, en noviembre hemos informado a algunos denunciantes confiables que pondremos a disposición una API que les permitirá obtener información al instante en respuesta a las solicitudes para sus investigaciones. Esperamos que esta funcionalidad esté en línea el primer trimestre de 2020.

Descontinuación de servicios

Cloudflare toma medidas en determinadas circunstancias para descontinuar los servicios de un sitio cuando resulta evidente que el sitio comparte material de abuso sexual infantil o si los operadores del sitio web y su host no toman las medidas adecuadas para eliminar el contenido de material de abuso sexual infantil. En la mayoría de los casos, las denuncias sobre material de abuso sexual infantil implican imágenes individuales que se publican en sitios de contenido generado por el usuario y que son eliminados rápidamente por los operadores de los sitios web responsables o los proveedores de alojamiento. En otros casos, cuando los operadores o los hosts no toman medidas, Cloudflare, por su cuenta, no puede eliminar o retirar el contenido, pero hará todo lo necesario para descontinuar el servicio al sitio web.  Hacemos un seguimiento de los informes de NCMEC u otras organizaciones cuando nos indican que han completado la investigación inicial y han confirmado la legitimidad de la denuncia, pero no han logrado que el operador del sitio web o el host retiren el contenido. También trabajamos con Interpol para identificar y descontinuar los servicios de los sitios que ellos han determinado que no tomaron medidas para resolver el tema del material de abuso sexual infantil.

En función de estas determinaciones e interacciones, hemos descontinuado el servicio a 5428 dominios en los últimos 8 años.

Además, Cloudflare ha presentado nuevos productos en los que brindamos servicios de host de contenido, y estaríamos en condiciones de eliminar contenido de Internet, estos incluyen Cloudflare Stream y Cloudflare Workers.  Si bien hasta la fecha estos productos han sido adoptados de manera limitada, esperamos que su uso aumente de manera significativa en los próximos años. Por lo tanto, escanearemos el contenido que alojamos para los usuarios de estos productos con PhotoDNA (o herramientas similares) que usan la lista de hash de imágenes de NCMEC. Si se marca, eliminaremos de inmediato ese contenido. Ahora estamos trabajando en esa funcionalidad, y esperamos que esté implementada en el primer semestre de 2020.

El enfoque de Cloudflare para abordar CSAM opera dentro de un contexto legal y político integral. El Congreso, las fuerzas policiales y las organizaciones de protección infantil han colaborado durante mucho tiempo para combatir de la mejor manera la explotación infantil. Como reconocimiento de la importancia de combatir la propagación en línea del material de abuso sexual infantil, NCMEC creó por primera vez CyberTipline en 1998, para ofrecer un sistema centralizado de denuncias para que los miembros del público y los proveedores en línea denuncien en línea la explotación infantil.

En 2006, el Congreso llevó a cabo una investigación de un año de duración y luego aprobó una serie de leyes para tratar el tema del abuso sexual infantil. Esas leyes intentaron equilibrar los diversos intereses en juego y coordinar las formas en que varias partes deben responder. El equilibrio de las políticas que el Congreso abordó sobre el material de abuso sexual infantil en Internet tenía una serie de elementos para los proveedores de servicios en línea.

En primer lugar, el Congreso formalizó el rol del NCMEC como centro de intercambio de información e investigación, a través de CyberTipline. La ley agrega un requisito, respaldado por multas, para que los proveedores de servicios en línea informen cualquier denuncia de material de abuso sexual infantil a NCMEC. La ley señala especialmente que para resguardar la privacidad, no creaban un requisito para monitorear contenido, buscar o examinar contenido de manera afirmativa para identificar posibles denuncias.

En segundo lugar, el Congreso respondió a las tantas historias de víctimas infantiles que hacían hincapié en el daño continuo causado por la transmisión de imágenes del abuso. Como lo describe NCMEC, “estas imágenes y videos no solo documentan la explotación y el abuso de las víctimas, sino que cuando estos archivos se comparten en Internet, las víctimas vuelven a sufrir cada vez que se ve la imagen del abuso sexual”, incluso cuando estas imágenes son vistas con propósitos aparentemente legítimos para la investigación. Para abordar esta preocupación, la ley obliga a los proveedores a minimizar la cantidad de empleados con acceso a toda descripción visual del abuso sexual infantil.

Por último, para garantizar que las organizaciones de protección infantil y el orden público tuvieron los registros necesarios para llevar a cabo una investigación, la ley obliga a los proveedores a conservar no solo la denuncia a NCMEC, sino también “toda descripción visual, datos u otros archivos digitales que sean razonablemente accesibles y puedan brindar contexto o información adicional sobre el material o la persona denunciados” por un período de 90 días.

Como los servicios de Cloudflare se utilizan de manera tan amplia - más de 20 millones de propiedades de Internet hacen uso de este servicio, y en función de datos de W3Techs, más del 10 % de los 10 millones de sitios web más grandes del mundo - hemos trabajado de manera ardua para entender estos principios de la política y responder de manera adecuada en una diversidad de circunstancias. Los procesos que se describen en este artículo del blog se diseñaron para garantizar que cumplimos con estos principios, de la manera más completa y rápida posible, y que tomamos otras medidas para respaldar los objetivos subyacentes del sistema.

No consideramos de ninguna manera que nuestro trabajo en este espacio ha concluido. Continuaremos trabajando con grupos que se dedican a combatir este abominable delito, y brindaremos las herramientas para obtener información de manera más rápida para eliminar el contenido de abuso sexual infantil e investigar a los delincuentes que lo crean y lo distribuyen.

Cloudflare's Senate Res... by Cloudflare on Scribd

Cloudflare's Senate Res... by Cloudflare on Scribd