Guy Rosen, vicepresidente de gestión de producto de Facebook, ha anunciado que alrededor de 50 millones de cuentas de usuario se han visto afectadas por un problema de seguridad en la función “Ver como” introducida a través de un cambio de código de carga de video a partir de julio de 2017. Como dice el informe de Rosen, los atacantes pudieron robar tokens de acceso de Facebook explotando un error en la característica de perfil “Ver como” que ayuda a los usuarios a ver su propio perfil como lo verían otros usuarios. Los tokens de acceso robados pueden ser utilizados por los actores de la amenaza detrás del ataque para hacerse cargo de las cuentas de usuario de Facebook afectadas, permitiendo efectivamente a los atacantes usar la aplicación de Facebook sin tener que volver a ingresar las contraseñas cada vez.
Facebook restableció los tokens de acceso de todos los 50 millones de usuarios afectados para proteger la seguridad de sus perfiles y también está reiniciando otras 40 millones de cuentas que han utilizado la función “Ver como” durante el último año. 90 millones de usuarios de Facebook tendrán restablecidos sus tokens de acceso por el equipo de seguridad de la red social que investiga el incidente de seguridad y tendrán que volver a iniciar sesión la primera vez que quieran usar sus cuentas de Facebook o aplicaciones de Facebook que usan Facebook Login.
90 millones de cuentas de Facebook podrían haber sido pirateadas
Todos los usuarios que se han visto afectados por este fallo en la seguridad recibirán una alerta en la parte superior de su feed de noticias de Facebook explicando en detalle por qué tuvieron que volver a iniciar sesión antes de poder usar su cuenta de Facebook. Como medida de precaución adicional, Facebook también ha decidido desactivar la función “Ver como” para todos los usuarios de la plataforma mientras el incidente de seguridad todavía se está revisando. Rosen dice que el equipo de seguridad de Facebook aún no sabe a qué datos han accedido los atacantes y si alguna de las cuentas afectadas ha sido mal utilizada de alguna forma hasta que se encontró la vulnerabilidad.
Facebook dice que los usuarios cuyas cuentas se vieron comprometidas durante este ataque y que se restablecieron sus tokens de acceso no necesitan cambiar sus contraseñas, y recomienda como medida de precaución que cualquiera que esté involucrado en el incidente vaya a la sección Seguridad e inicio de sesión en su configuración de perfil y cierre sesión en todas las aplicaciones conectadas, como Instagram.
Las declaraciones de Facebook
Facebook ha dicho que el fallo “les permitió [a los hackers] robar tokens de acceso de Facebook que luego podrían utilizar para hacerse cargo de las cuentas de las personas. Los tokens de acceso son el equivalente a las claves digitales que mantienen a las personas conectadas a Facebook para que no necesiten volver a ingresar su contraseña cada vez que usan la aplicación”.
“Para proteger las cuentas de las personas, hemos solucionado la vulnerabilidad. También hemos restablecido los tokens de acceso de las casi 50 millones de cuentas que sabemos que se vieron afectadas y también hemos tomado la medida preventiva de restablecer tokens de acceso para otras 40 millones de cuentas que han sido objeto de una Vista como búsqueda en el último año. Finalmente, hemos desactivado temporalmente la función Ver como mientras realizamos una exhaustiva revisión de seguridad”.
La compañía se enfrenta a una nueva demanda
La compañía se enfrenta a una demanda colectiva presentada en nombre de una residente de California, Carla Echavarria, y un residente de Virginia, Derick Walker. Ambos alegan que la falta de seguridad de Facebook los ha expuesto y que tienen una posibilidad significativamente mayor de robo de identidad como resultado de la violación. La demanda fue presentada hoy en el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de California. La demanda alega que Facebook es culpable de prácticas comerciales ilegales, engaño por ocultamiento, negligencia y violaciones de la Ley de Registros de Clientes de California. Los demandantes desean que se les otorguen daños legales y sanciones a ellos y a otros miembros de la clase, así como a la provisión de servicios de monitoreo de crédito, daños punitivos y la cobertura de los honorarios y gastos de los abogados.
Aunque Facebook dice que ha solucionado el problema que provocó la violación, todavía tiene poca o ninguna información que proporcionar sobre quién está detrás del ataque o cuándo ocurrió el ataque. Esta es una de las violaciones más graves que Facebook ha sufrido alguna vez. Es probable que solo intensifique las críticas sobre el manejo de los datos de usuario y sus políticas de privacidad a raíz del escándalo de Cambridge Analytica a principios de este año, en el que más de 70 millones de usuarios de información personal fueron empaquetados y vendidos a una empresa minera de datos sin su consentimiento.
Tal como están las cosas, además de esta nueva demanda, Facebook se enfrenta presiones de la procuradora general del estado de Nueva York, Barbara Underwood, quien anunció esta tarde en Twitter que “estamos investigando la violación masiva de datos de Facebook. Los neoyorquinos merecen saber que su información estará protegida”. El comisionado federal de Comercio, Rohit Chopra, tuvo una breve reacción pública, publicando un simple tweet de tres líneas que decía: “Quiero respuestas”. Además de Underwood y Chopra, el senador Mark R. Warner (D-VA) publicó una declaración que describe que el pirateo es “profundamente preocupante” y exige una investigación completa.
“La revelación de hoy es un recordatorio sobre los peligros que se presentan cuando un pequeño número de compañías como Facebook o la agencia de crédito Equifax pueden acumular tantos datos personales sobre estadounidenses individuales sin las medidas de seguridad adecuadas“, se lee en la declaración de Warner, que es el vicio presidente del Comité Senatorial de Inteligencia del Senado y copresidente del Comité de Ciberseguridad del Senado. “Este es otro indicador aleccionador que el Congreso necesita intensificar y tomar medidas para proteger la privacidad y la seguridad de los usuarios de las redes sociales. Como he dicho antes, la era del Salvaje Oeste en las redes sociales ha terminado“.
