Facebook ignoró una vulnerabilidad que filtró millones de direcciones de correo electrónico de usuarios
Una imagen censurada del software Facebook Email Search v1.0. Ars Technica
Los piratas informáticos están utilizando un software llamado Facebook Email Search v1.0 para descubrir millones de direcciones de correo electrónico de usuarios de Facebook, incluso si las direcciones están configuradas como privadas. Estos datos de usuario, junto con los 533 millones de números de teléfono filtrados de Facebook hace solo unas semanas, pueden ayudar a los piratas informáticos a acceder a las cuentas o crear una base de datos con la información privada de los usuarios de Facebook.
Facebook Email Search v1.0 explota una vulnerabilidad de front-end en el sitio web de Facebook. Vincula automáticamente las identificaciones de usuario a su dirección de correo electrónico asociada, lo que permite que un solo pirata informático asegure alrededor de 5 millones de direcciones de correo electrónico por día. Facebook dice que parchó una vulnerabilidad casi idéntica a principios de este año, aunque el problema claramente sigue sin solucionarse.
En una conversación con Ars Technica, un investigador anónimo afirma que demostró el exploit a Facebook, pero que el gigante de las redes sociales optó por ignorar el problema. Facebook le dijo al investigador que "no considera que [la vulnerabilidad] sea lo suficientemente importante como para ser parcheada", a pesar de que es un claro riesgo de seguridad y una violación de la privacidad de los usuarios.
¿Listo para un doble golpe? Facebook no solo ignoró la vulnerabilidad, sino que está alentando activamente a sus representantes de relaciones públicas a minimizar y normalizar las filtraciones de datos. Un correo electrónico interno de Facebook enviado accidentalmente a los periodistas en Data News después de la filtración del número de teléfono del 5 de abril dice lo siguiente:
ESTRATEGIA A LARGO PLAZO: Suponiendo que el volumen de prensa continúe disminuyendo, no estamos planeando declaraciones adicionales sobre este tema. Sin embargo, a más largo plazo, esperamos más incidentes de raspado y creemos que es importante enmarcar esto como un problema general de la industria y normalizar el hecho de que esto sucede regularmente. Para hacer esto, el equipo propone una publicación de seguimiento en las próximas semanas que habla de manera más amplia sobre nuestro trabajo anti-scraping y proporciona más transparencia sobre la cantidad de trabajo que estamos haciendo en esta área. Si bien esto puede reflejar un volumen significativo de actividad de scraping, esperamos que esto ayude a normalizar el hecho de que esta actividad está en curso y evitar críticas de que no estamos siendo transparentes sobre incidentes particulares.
Cientos de millones de usuarios de Facebook han visto comprometida su información privada este mes debido a dos vulnerabilidades de sitios web diferentes. Y frente a este "volumen significativo de actividad de raspado", Facebook espera normalizar las filtraciones y admite que los volcados de datos son "continuos". Para un sitio web que está obsesionado con la recopilación de datos de los usuarios, la negligencia de Facebook es una gran señal de alerta.
Facebook ahora afirma que "cerró erróneamente este informe de recompensas por errores antes de enrutarlo al equipo apropiado", y que actualmente está investigando el problema. No está claro cuándo la empresa reparará esta vulnerabilidad o cuántas cuentas se han visto afectadas. También se desconoce el impacto actual de los datos de usuario filtrados.
Fuente: Ars Technica, noticias de datos