El 28 de septiembre estará marcado en el calendario de Facebook como la fecha en la que anunciaron la mayor brecha de datos comprometidos de su historia. La propia red social lo daba a conocer en una publicación de su blog. En él avisan a sus clientes de que 50 millones de cuentas estaban afectadas por un fallo de seguridad, que las ha dejado expuestas.
Aunque el anuncio llegó el jueves, la red social conoció la existencia del fallo de seguridad el martes anterior, y así lo hacían saber:
«En la tarde del martes 25 de septiembre, nuestro equipo de ingenieros descubrió un fallo de seguridad que afecta al menos a 50 millones de cuentas. Estamos tomando esto muy seriamente y queremos que todos sepan qué ha ocurrido y la acción inmediata que hemos tomado para proteger la seguridad de la gente».
La investigación, explican, todavía está en una fase preliminar. Pero lo que parece claro, apuntan, «es que unos atacantes explotaron una vulnerabilidad en el código de Facebook».
El fallo de seguridad estaba en la característica Ver cómo
En concreto, el código afectado pertenece a la la característica «Ver Cómo«, la funcionalidad de la red social que permite a un usuario comprobar cómo ve su perfil otro miembro de la red social, ya sea un contacto en Facebook o no.
Un fallo en esta característica es la que ha permitido a los atacantes robar los tokens de accso que podían usar para hacerse con las cuentas de los usuarios. Los tokens de acceso son los equivalentes a las llaves digitales, para mantener la sesión de los usuarios activa sin necesidad de volver a introducir usuario y contraseña cada vez que usan la aplicación.
Otros 40 millones de cuentas, puestas en «preaviso»
Los responsables de la red social aseguran que han arreglado la vulnerabilidad que ha provocado el fallo de seguridad y han informado a la autoridad competente.
Además, han reseteado los tokens de acceso de los 50 millones de cuentas afectadas, para «proteger su seguridad», afirman desde Facebook. Una red social que se ha convertido en la más popular del mundo, con más de 2.000 mil millones de usuarios activos en un mes. Ese reseteo implica que estas personas tendrán que volver a acceder a la red social con sus credenciales.
Asimismo, señalan que se encuentran tomando acciones de precaución, reseteando los tokens de acceso de otros 40 millones de cuentas que han sido objeto de la característica «Ver cómo» durante el último año.
En total, son 90 millones de cuentas de Facebook las que han sido reseteadas para salir forzosamente del acceso automático a su cuenta. El resultado es que este casi centenar de personas tendrán que volver a introducir sus credenciales para volver a entrar a sus cuentas.
Y no solamente a Facebook (tanto la versión web como la app móvil), sino también tendrán que volver a acceder a todas aquellas aplicaciones y herramientas que se conectaban con la red social.
Por otro lado, han deshabilitado la característica «Ver cómo» de hasta que hagan una investigación profunda de seguridad.
«No hace falta cambiar la contraseña»
Facebook asegura que las personas afectadas por esta brecha de seguridad verán una notificación en la parte superior del feed de noticias una vez que vuelvan a acceder a su cuenta con su usuario y contraseña. Sin embargo, no es necesario que modifiquen su contraseña, aseguran. Por lo que debemos suponer que los atacantes no han accedido a esta información. Algo que puede parecer extraño e incluso contradictorio en un caso de acceso no autorizado a las cuentas, pero ellos lo explican de este modo:
«La privacidad y seguridad de las personas es muy importante, y lamentamos mucho que esto haya ocurrido. Por ello, hemos tomado acciones inmediatas para asegurar estas cuentas y contar lo que ha pasado. No hay necesidad de que nadie cambie sus contraseñas. Pero los usuarios que están teniendo problemas para acceder de nuevo a Facebook – por ejemplo porque hayan olvidado su contraseña – deberían visitar nuestro Centro de Ayuda»
En cualquier caso, si como usuario quieres comprobar qué sesiones de tu cuenta están abiertas, y dónde han sido usadas (hábito que no está mal hacer de vez en cuando), tan solo tienes que acceder al apartado «Seguridad y acceso» dentro de la configuración de la red social. Aquí podrás ver un listado de los dispositivos desde donde se ha accedido a tu cuenta, y podrás eliminarlos uno a uno, saliendo de las sesiones abiertas.
Tampoco está de más aprender a gestionar las contraseñas debidamente, escogiendo claves que sean seguras y activando el segundo factor de autenticación.
Los detalles técnicos que se conocen hasta ahora del ataque
Desde la red social han explicado que el ataque explotó una compleja interacción de múltiples aspectos de su código. Provino de un cambio que realizaron en la característica de subida de vídeo hace más de un año, en julio de 2017, que al parecer impactó en la característica «Ver cómo» afectada.
Los atacantes no solo necesitaron encontrar esta vulnerabilidad y usarla para acceder a los tokens de acceso, sino que tuvieron que pivotar desde esa cuenta a tras para robar más tokens.
Qué significa esta brecha de seguridad en términos de privacidad
Los ciberdelincuentes han podido acceder a los datos de Facebook debido a una vulnerabilidad en el código de la red social, es decir: un error interno. Esto ha provocado la que es la brecha de datos más grave de la historia de Facebook.
Aunque no ha sido el único incidente en términos de privacidad y el uso de los datos. En marzo de este año, salía a la luz el escándalo de Cambridge Analytica. La empresa británica de análisis de datos se aprovechó de los datos de 50 millones de usuarios obtenidos a través de una app de Facebook para realizar estudios políticos.
7 claves sobre el escándalo de Facebook y cómo mejorar la privacidad de tus datos
Lo que está por venir en la brecha de datos de Facebook
La red social ha asegurado que seguirá manteniendo al día a sus usuarios acerca de las novedades que encuentren en la investigación de esta brecha de seguridad. El CEO de Facebook, Mark Zuckerberg, ha afirmado que la compañía está trabajando junto con el FBI sobre este incidente de seguridad.
Todavía falta por conocerse a qué datos concretos de los usuarios han podido acceder los atacantes, si han sido usados de alguna forma, o si están siendo vendidos o publicados en algún lugar.
