Hackers que atacaron a Facebook accedieron a la información privada de 30 millones de personas

Facebook ha presentado un primer reporte, luego de sufrir un ataque masivo a fines de setiembre que afectó a 50 millones de usuarios. En este comunicado de Guy Rosen, Vicepresidente de Producto, se detalla parte de lo ocurrido durante esta incursión:

Hemos estado trabajando todo el día para investigar el problema de seguridad que descubrimos y solucionamos hace dos semanas, para ayudar a las personas a comprender a qué información pueden haber accedido los atacantes. Hoy, estamos compartiendo detalles encontrados sobre el ataque  que explotó esta vulnerabilidad. No hemos descartado la posibilidad de ataques de menor escala, que seguimos investigando.

Como hemos dicho, los atacantes explotaron una vulnerabilidad en el código de Facebook que existió entre julio de 2017 y septiembre de 2018. La vulnerabilidad fue el resultado de una interacción compleja de tres errores de software distintos y afectó a "Ver como", una característica que permite a las personas ver cómo se ve su propio perfil para otra persona. Les permitió a los atacantes robar tokens de acceso a Facebook, que luego podrían usar para hacerse cargo de las cuentas. Los tokens de acceso son equivalentes a las claves digitales que mantienen a las personas conectadas a Facebook, para que no tengan que volver a ingresar su contraseña cada vez que usen la aplicación.

Así es como encontramos el ataque que explotó esta vulnerabilidad. Vimos un aumento inusual de actividad que comenzó el 14 de septiembre de 2018, y comenzamos una investigación. El 25 de septiembre, determinamos que esto era realmente un ataque e identificamos la vulnerabilidad; y endos días, cerramos la vulnerabilidad, detuvimos el ataque y aseguramos las cuentas de las personas mediante la restauración de los tokens de acceso para los que estaban potencialmente expuestos. Como medida de precaución, también desactivamos "Ver como". Estamos cooperando con el FBI, que está investigando activamente y nos pidió que no digamos quién puede estar detrás de este ataque.

Ahora sabemos que menos personas se vieron afectadas de lo que pensábamos originalmente. De los 50 millones de personas cuyos tokens de acceso creímos que fueron afectados, a alrededor de 30 millones en realidad les robaron sus tokens. Así es como sucedió:

Primero, los atacantes ya controlaban un conjunto de cuentas, que estaban conectadas a amigos de Facebook. Utilizaron una técnica automatizada para pasar de una cuenta a otra para poder robar las fichas de acceso de esos amigos, y de los amigos de esos amigos, y así sucesivamente, con un total de aproximadamente 400,000 personas. Sin embargo, en el proceso, esta técnica cargó automáticamente los perfiles de Facebook de esas cuentas, reflejando lo que estas 400,000 personas habrían visto al mirar sus propios perfiles. Esto incluye publicaciones sobre sus líneas de tiempo, sus listas de amigos, los Grupos de los que son miembros y los nombres de las conversaciones recientes de Messenger. El contenido del mensaje no estaba disponible para los atacantes, con una excepción. Si una persona en este grupo era un administrador de la página cuya página había recibido un mensaje de alguien en Facebook, el contenido de ese mensaje estaba disponible para los atacantes.

Los atacantes utilizaron una parte de las listas de amigos de estas 400,000 personas para robar tokens de acceso para unos 30 millones de personas. En el caso de 15 millones de personas, los atacantes accedieron a dos conjuntos de información: nombre y detalles de contacto (número de teléfono, correo electrónico o ambos, dependiendo de lo que las personas tenían en sus perfiles). En el caso de los otros 14 millones de personas, los atacantes accedieron a los mismos dos conjuntos de información, así como a otros detalles que las personas tenían en sus perfiles. Esto incluía el nombre de usuario, el género, la ubicación / idioma, el estado de la relación, la religión, la ciudad natal, la ciudad actual autoinformada, la fecha de nacimiento, los tipos de dispositivos utilizados para acceder a Facebook, la educación, el trabajo, los últimos 10 lugares en los que se registraron o se etiquetaron en el sitio web, personas o páginas que siguen, y las 15 búsquedas más recientes. Para 1 millón de personas, los atacantes no accedieron a ninguna información.

Las personas pueden verificar si se vieron afectadas al visitar nuestro Centro de ayuda. En los próximos días, enviaremos mensajes personalizados a los 30 millones de personas afectadas para explicar a qué información podrían haber accedido los atacantes, así como los pasos que pueden tomar para protegerse a sí mismos, incluso de correos electrónicos sospechosos, mensajes de texto o llamadas.

Este ataque no incluyó Messenger, Messenger Kids, Instagram, WhatsApp, Oculus, Workplace, Pages, pagos, aplicaciones de terceros o cuentas de publicidad o desarrolladores. Mientras buscamos otras formas en las que las personas detrás de este ataque utilizaron Facebook, así como la posibilidad de ataques de menor escala, continuaremos cooperando con el FBI, la Comisión Federal de Comercio de los EE. UU., La Comisión de Protección de Datos de Irlanda y otras autoridades.