En un reciente giro en el ámbito legal, la disputa entre Ryanair y Booking.com ha suscitado preocupaciones en torno a la interpretación del Computer Fraud and Abuse Act (CFAA), una legislación federal que trata sobre la seguridad informática. En un caso que ha llegado a los tribunales, se ha sugerido que el CFAA podría aplicarse incluso cuando se utilizan credenciales legítimas para acceder a información permitida. Este asunto se encuentra actualmente en apelación, y la Electronic Frontier Foundation (EFF) ha intervenido, instando al Tercer Circuito a aclarar que el caso se centra en violaciones de políticas, y no en hacking, lo que no se adecúa a la definición de acceso «sin autorización» según la ley.
El conflicto se originó debido a diferencias sobre la transparencia de precios aéreos. Ryanair ha acusado a Booking.com de republicar tarifas que solo estaban disponibles para usuarios registrados. A pesar de enviar una carta de cesación, la aerolínea no desactivó las cuentas de aquellos con credenciales indeseadas. Al continuar accediendo a precios mediante sus datos de inicio de sesión, Ryanair alegó que esto constituía una infracción del CFAA.
La EFF argumenta que una aplicación del CFAA en este contexto podría perjudicar la investigación, la seguridad, la competencia y la innovación. La organización ha abogado por una restricción de esta ley a su propósito original, que es lidiar con el hacking real, es decir, eludir la seguridad de los sistemas informáticos. En este caso, se resalta que la información en cuestión era accesible públicamente para aquellos que tenían credenciales.
En su escrito, la EFF recuerda que la Corte Suprema, en el caso Van Buren contra Estados Unidos, definió «autorización» como un concepto técnico vinculado a la autenticación de computadoras. Por lo tanto, incidentes menores que infrinjan términos de servicio, como el compartir credenciales, no deberían clasificarse como hacking.
La EFF también ha advertido sobre las graves implicaciones que podría tener un fallo favorable a Ryanair sobre investigadores, académicos y periodistas. Estos actores a menudo crean cuentas de prueba para investigar cómo los servicios presentan ofertas o estudian diversas variables. Si las empresas consideran que estas prácticas son inapropiadas, podrían fácilmente perseguirlas como delitos, simplemente indicando que el investigador no está autorizado a usar el servicio de esa forma.
Este enfoque podría inhibir investigaciones valiosas y limitar la competencia al restringir la recolección de datos, lo que afectaría negativamente a la capacidad de comparación de precios y características entre diferentes servicios. La EFF hace un llamado a los tribunales para que sigan el precedente establecido en el caso Van Buren y mantengan una interpretación restringida del CFAA. Acceder a un sitio web público con credenciales válidas, argumenta la EFF, no debería considerarse hacking, y una interpretación amplia de esta ley podría tener consecuencias no deseadas que dificulten la búsqueda de responsabilidad independiente por parte de las empresas.
