Facebook no te dirá si tus datos se vieron comprometidos

Un viejo “hack” de Facebook que impactó a más de 533 millones de personas resurgió durante el fin de semana, ya que los informes revelaron que toda la base de datos se publicó en un foro. Facebook señaló rápidamente que la violación de datos es antigua y que la vulnerabilidad de seguridad se había solucionado , por lo que no pueden ocurrir accidentes similares. 

Pero hizo poco para abordar el hecho de que las personas con acceso a la base de datos pueden obtener mucha información personal sobre un usuario, incluidos los números de teléfono. Unos días después, un investigador de seguridad hizo posible que las víctimas potenciales buscaran en la base de datos y averiguaran si sus datos estaban comprometidos. 

Un buscador diferente mostró lo fácil que sería para un individuo malintencionado aprovechar esos datos al revelar que la cuenta de Facebook de Mark Zuckerberg se incluyó en el hack , que incluía su número de teléfono, y descubrió que el CEO de Facebook es un usuario de Signal.

A pesar de eso, Facebook no planea notificar a los usuarios afectados. La compañía también insiste en una explicación de lo que sucedió hace casi dos años que los piratas informáticos no violaron las defensas de Facebook. En cambio, utilizaron una tecnología que Facebook desarrolló contra sí mismo para recopilar todos esos datos en un ataque de «raspado«.

Facebook nunca notificó a los usuarios afectados y no planea cambiar eso ahora que la base de datos llegó a más personas. Un portavoz confirmó a Reuters que :

El portavoz de Facebook dijo que la empresa de redes sociales no confiaba en tener una visibilidad completa sobre qué usuarios necesitarían ser notificados. Dijo que también tuvo en cuenta que los usuarios no podían solucionar el problema y que los datos estaban disponibles públicamente para decidir no notificar a los usuarios.

Facebook publicó una publicación de blog que detalla los «hechos en los informes de noticias sobre los datos de Facebook». La compañía dijo que los actores maliciosos no piratearon sus sistemas. En su lugar, utilizaron una técnica de raspado que involucró la importante herramienta de contacto de Facebook. Esta función permite a los usuarios de Facebook importar sus listas de contactos para encontrar amigos con los que conectarse. Facebook dice que los atacantes aprovecharon las vulnerabilidades para acceder a la información del usuario:

Cuando nos dimos cuenta de cómo los actores malintencionados usaban esta función en 2019, hicimos cambios en el importador de contactos. En este caso, lo actualizamos para evitar que actores malintencionados usen software para imitar nuestra aplicación y carguen una gran cantidad de números de teléfono para ver cuáles coincidían con los usuarios de Facebook. A través de la funcionalidad anterior, pudieron consultar un conjunto de perfiles de usuario y obtener un conjunto limitado de información sobre aquellos usuarios incluidos en sus perfiles públicos. La información no incluía información financiera, información de salud o contraseñas.

Facebook no dice qué tipo de información robaron los atacantes. Los detalles incluyen nombres completos, ubicaciones, números de teléfono y cumpleaños. Esa es todavía mucha información de la que algunas personas podrían abusar. Los usuarios afectados pueden tomar alguna medida para evitar que los piratas informáticos los ataquen. Esto podría incluir cambiar números de teléfono e incluso salir de Facebook.

La compañía no ofrece ningún curso de acción, y el hecho es que la mayoría de las personas pueden hacer poco para evitar que sus datos circulen. Facebook dice que tiene opciones limitadas. «Si bien no siempre podemos evitar que conjuntos de datos como estos vuelvan a circular o que aparezcan otros nuevos, tenemos un equipo dedicado centrado en este trabajo», se lee en la publicación del blog. Facebook también les dice a los usuarios que es una buena idea hacer chequeos de privacidad regulares para ajustar su configuración sobre quién puede comunicarse con ellos en Facebook.

Si bien Facebook dice que la técnica de raspado violó sus políticas, The Verge señala que Facebook no ha tomado ninguna medida contra una empresa diferente que también haya extraído datos de las aplicaciones de Facebook. Clearview AI extrajo fotos de Instagram y Facebook, pero Facebook no ha demandado a Clearview.

Los usuarios que quieran ver si los 533 millones de «hackeos» incluyen sus datos de Facebook pueden utilizar el servicio Have I Been Pwned .