50 millones de usuarios de Facebook afectados por vulnerabilidad

En la tarde del martes 25 de septiembre de 2018, el equipo de ingenieros de Facebook descubrió un problema de seguridad que afectaba a casi 50 millones de cuentas.

Los atacantes explotaron una vulnerabilidad en Facebook que afectaba a la función “View As”, la cual permite al usuario ver como otros perfiles visualizan el suyo. De esta forma, consiguieron robar los tokens de acceso a la plataforma que, posteriormente, usarían para obtener acceso a las cuentas mencionadas, según ha informado la compañía.

La organización después de corregir la vulnerabilidad e informar a las autoridades, ha restablecido los tokens de acceso de los 50 millones de cuentas afectadas, y de otros 40 millones que podrían haberlo sido por precaución, lo que obligará a los usuarios a volver a loguearse. Al hacerlo, recibirán una notificación informándoles sobre este incidente.

Actualización 03/10/2018: Los investigadores de Facebook, tras revisar los logs de todas las aplicaciones de terceros que hacen uso de Facebook Login, no han encontrado ninguna evidencia de que los atacantes hayan accedido a alguna de estas apps mediante este sistema. Además, informan que están trabajando en una herramienta que permita a los desarrolladores que no utilicen los SDK oficiales, identificar manualmente a los usuarios afectados para poder desconectarlos.

Actualización 15/10/2018: Facebook ha descubierto que no se vieron afectadas 50 millones de cuentas como se pensó inicialmente, sino alrededor de 30, de los cuales en los primeros 15 millones se obtuvo información de nombre y detalles de contacto (número de teléfono y correo electrónico). Asimismo, los datos de otras 14 millones se vieron afectados de igual forma junto con otros adicionales como nombre de usuario, sexo, ubicación, idioma, estado sentimental, creencias religiosas, ciudad natal, ciudad actual, fecha de nacimiento, tipos de dispositivos utilizados para acceder a Facebook, nivel de educación, información laboral, últimos 10 lugares que registraron o fueron etiquetados, web personal, personas o páginas seguidas y las 15 búsquedas más recientes. Finalmente, para el millón de cuentas restante, los atacantes no accedieron a ningún tipo de información. Los usuarios pueden verificar si se han visto afectados desde el centro de ayuda de Facebook, de igual modo en los próximos días, la red social notificará a los interesados sobre este incidente.