Sí, pero fue un error. La compañía que desarrolla la aplicación, que todavía no puede instalarse de forma oficial en Colombia pero que miles de personas han conseguido de manera extraoficial, no tenía la intención de acceder al correo de los usuarios de Pokémon Go, pero por un error de programación la aplicación pedía acceso al email y la totalidad de la información almacenada en la cuenta de Google de sus usuarios.

Éxito extraoficial

Los desarrolladores del juego no esperaban que Pokémon Go tuviera una acogida tan grande. Prueba de ello es que diseñaron los servidores de la aplicación para soportar una carga mucho menor de la que en realidad tuvieron y que causaron dolores de cabeza a los jugadores durante los primeros días en que el juego estuvo disponible en Estados Unidos.

Australia y Nueva Zelanda ya tenían acceso al juego para entonces. El resto del mundo tiene que esperar la salida de una versión oficial de la aplicación, para poder descargarla de la tienda de Google.

Pero miles de usuarios han decidido instalarla por su propia cuenta. En el iPhone el proceso incluye cambiar la ubicación oficial del teléfono a Estados Unidos. En Android es más sencillo: basta con tener acceso a un archivo de formato APK para instalar Pokémon Go en cualquier lugar del mundo.

Obviamente: la aplicación no se actualiza automáticamente cuando se instala de esta forma; es necesario buscar manualmente versiones más recientes e instalarlas cada vez que salgan.

Miles de usuarios alrededor del mundo han instalado la versión oficial del juego de esta forma.

Otros, menos afortunados, han conseguido versiones alteradas, que dan a atacantes acceso a su teléfono y en algunos casos, incluso a sus cuenta bancarias.

Acceso innecesario

Incluso los usuarios que instalaron Pokémon Go de forma oficial corrieron riesgo. Al hacer la aplicación disponible para millones de usuarios en Estados Unidos, los desarrolladores dieron la posibilidad de abrir una cuenta en el juego sin necesidad de ingresar un nuevo usuario y contraseña. En lugar de eso, los jugadores tenían simplemente que vincular su cuenta de Google a Pokémon Go, un proceso más rápido y mucho más sencillo.

El problema vino cuando algunos usuarios revisaron qué tipo de permisos tenía Polkémon Go sobre su cuenta de Google, y notaron que eran absolutos. La aplicación tenía acceso a toda la información almacenada en su cuenta, desde sus contactos hasta los emails, y su historial de búsqueda.

Los desarrolladores corrigieron este error y aclararon que, aunque tuvieron acceso a esta información, nunca la utilizaron; fue un error y sus servidores, de por sí sobrecargados por la cantidad de usuarios que trataban de atrapar Pikachus, Pidgeys y Ratatas, y batallar unos contra otros en su gimnasio Pokémon más cercano, no hicieron uso de los privilegios de acceso a las cuentas de Google de los jugadores.

La experiencia, en cualquier caso, avivó la controversia sobre la conveniencia de utilizar este método de acceso a las aplicaciones modernas; vincular una cuenta con tanta información importante como la de Google a un sencillo juego puede abrir un enorme agujero de seguridad.

Un caso de estudio

Independientemente del juego como tal, que es modesto pero inspirado y, en el caso de quienes vivieron su infancia y adolescencia en la década del 90, una experiencia nostálgica, Pokémon Go es un caso de estudio para la seguridad digital en la era moderna.

Por un lado, fue desafortunado que la aplicación se lanzara por regiones. Los desarrolladores no podían hacer nada diferente; el éxito del juego no estaba asegurado y no podían poner todo su dinero en los servidores necesarios para soportar la carga de millones de jugadores accediendo a la aplicación al mismo tiempo. Pero el lanzamiento parcializado de una aplicación tan apetecida se tradujo en que millones de usuarios fuera de los países donde estaba disponible oficialmente adquirieran el juego de forma insegura.

Por otro lado, el hecho de vincular la cuenta de Google al juego confirmó que la práctica, aunque más segura que alternativas como dar la contraseña directamente, sigue siendo fundamentalmente insegura.

Otras aplicaciones podrían aprovecharse de los usuarios para tener acceso a sus correos y vender información personal asociada a su perfil.