¿Qué sabemos sobre el ataque de Facebook que afectó a 90 millones de cuentas?

Este viernes (5), hace una semana, Facebook sufrió un ataque que afecta a 50 millones de cuentas y provocó un total de 90 millones de cierre de sesión . En medio del debate político en Brasil, el tema atrajo la atención pero permaneció «tibio» en los días siguientes. La red social dice que la investigación preliminar está en curso, pero ha compartido información con los usuarios y se ha convertido en objeto de acciones legales incluso en Brasil.

¿Cómo contener las noticias falsas del tsunami?
MP abre investigación para investigar fuga de datos de brasileños en Facebook

Actualización de seguridad

Fue el viernes por la tarde, Brasilia, cuando Facebook se hizo público con una nota oficial que indicaba que su equipo de ingeniería descubrió lo que llamó un incidente de seguridad que afectó a casi 50 millones de cuentas sin informarlo. El número exacto. Y dijo que los piratas informáticos piratas informáticos explotaron una falla en el código que impactó «Vea cómo» (que le permite ver cómo se ve su perfil para los demás).

Facebook bloqueó los enlaces a la invasión que afectaron a 50 millones de personas

La red social dice que el equipo descubrió el incidente en esta fecha, pero en realidad no informa cuándo ocurrió el incidente. No está claro si el descubrimiento ocurrió en el momento del intento o si se realizó después (poco o mucho tiempo) de que realmente ocurrió la invasión.

La invasión (palabra utilizada por la red social) permitió el robo de tokens de acceso, «que utilizaron para ingresar a las cuentas de las personas» . En este punto, Facebook afirma que han ingresado a las cuentas de usuarios sin autorización. La versión en inglés de la declaración es más suave: «podrían usarla para hacerse cargo de las cuentas de las personas» .

En este punto, Facebook tampoco asume si los datos se han filtrado o no .

¿Qué son los tokens de acceso?

Los tokens son como llaves digitales. Mantienen a las personas conectadas a Facebook para que no tengan que volver a escribir su contraseña cada vez que acceden a la aplicación.

Es decir, robaron una «versión de su contraseña». Acerca de los tokens, la plataforma establece que cuando alguien se conecta a una aplicación usando «Facebook Login» y aprueba la solicitud de permiso, la aplicación obtiene un token de acceso (una clave digital) que proporciona acceso protegido (encriptado) y temporal. a las API de Facebook.

Un token consiste en una cadena que identifica a un usuario, aplicación o página, obtenida por varios métodos. Según Facebook, el token incluye información sobre cuándo caducará y qué aplicación lo generó. En la red social, hay cuatro tipos de token de acceso : usuario, aplicación, página y cliente.

¿Qué ha hecho Facebook?

El mismo viernes, la red social informó que corrigió la vulnerabilidad en «Ver como» (en este caso, suspendió el acceso al recurso) e informó a las autoridades sobre el hecho.

Con el riesgo de que los atacantes en posesión de estos tokens puedan acceder a las cuentas de los usuarios, el equipo de ingeniería optó por invalidar los casi 50 millones de tokens que Facebook ya sabe que se vieron afectados. Como precaución, los tokens de acceso también se invalidaron de otros 40 millones de cuentas que usaron «Vea cómo» el año pasado, totalizando 90 millones de personas afectadas por la maniobra y sus consecuencias.

Has cerrado sesión

Fue esta iniciativa la que generó el impacto inmediato sentido por la mayoría de los usuarios de la noche anterior, el jueves (27). Alrededor de 90 millones de personas en todo el mundo necesitaron iniciar sesión nuevamente en Facebook y las aplicaciones que usaron Facebook Login para crear sus cuentas. Estas mismas personas, después de iniciar sesión nuevamente, recibieron una notificación en la parte superior del News Feed sobre el incidente .

¿Cómo ocurrió el ataque en Facebook?

Inmediatamente, no hubo detalles técnicos, pero la plataforma dio algunas pistas sobre lo que sucedió. El ataque explotó lo que se llamó «interacciones complejas que involucran una serie de problemas / ocurrencias» en el código de Facebook.

Todo habría comenzado con un cambio realizado en la herramienta de carga de videos en julio de 2017 que impactó «Vea cómo». Quien encontró el defecto lo usó para obtener acceso a una ficha y saltó a la cuenta para robar más y más fichas en serie.

Nadie lo sabe, nadie ha visto a
Guy Rosen, vicepresidente de gestión de productos, quien firmó la declaración y no compartió más detalles. La red social tampoco había dado en el blanco si las cuentas fueron mal utilizadas o si se accedió a alguna información. «Tampoco sabemos quién está detrás de estos ataques o dónde están ubicados los atacantes», dijo Rosen, prometiendo nuevos reinicios de fichas si tuvieran que hacerlo.

Mark Zuckerberg , fundador de la red social, también publicó una declaración similar en su perfil que decía que nadie necesitaba cambiar su contraseña. Sin embargo, aquellos que no recordaban la contraseña tuvieron que apelar para restablecerla en el sitio .

5 ajustes de seguridad para evitar que su Facebook sea pirateado

El ejecutivo también dijo que cualquiera que quisiera cerrar sesión en Facebook o cerrar sesión en aplicaciones y dispositivos conectados, como precaución, simplemente visite el área «Seguridad e inicio de sesión» dentro de «Configuración» y hágalo con un solo clic.

Cómo recuperar la contraseña de Facebook

Detalles técnicos sobre el ataque de Facebook

En la misma fecha, hubo una conferencia de prensa con Rosen para los medios estadounidenses. Horas después, llegó más y más información. Pedro Canahuati, vicepresidente de ingeniería, seguridad y privacidad, firmó una actualización en el comunicado, paso a paso.

Dijo que «a principios de la última semana de septiembre» se descubrió que un actor externo atacó los sistemas y explotó la falla que expuso los tokens HTML durante el procesamiento de un componente específico «Ver como» en la interacción de tres errores.

Martes: se descubrió el ataque a la plataforma.
Jueves: Se corrigió el error y se cerró la sesión.

«Esto es algo muy serio y estamos investigando mucho», dijo Rosen en un video .

La triangulación de errores:

El «Ver como» debe ser una interfaz de visualización. Pero el cuadro de edición que le permite publicar en Facebook, específicamente la versión que permite a las personas desearle un feliz cumpleaños, le dio la oportunidad de publicar un video.
Una nueva versión del cargador de videos, presentada en julio de 2017, generó un token de acceso que otorgaba los mismos permisos que la aplicación móvil de Facebook.
Cuando el cargador apareció en Ver como, generó el token de acceso no para el propietario del perfil, sino para el usuario que estaba buscando.

La combinación de los tres errores ha creado el camino perfecto hacia el fracaso: usar «ver cómo» para ver su perfil como amigo, tener un cargador de contenido válido que permita a las personas desearle un feliz cumpleaños y un cargador de video que generó un token de acceso cuando no debería. Cuando se generó el token, no era para el usuario sino para la persona consultada. El token estaba disponible en el HTML de la página, y los atacantes pudieron extraerlo e iniciar sesión como si fuera el otro usuario que estaba buscando en 50 millones de cuentas.

Desde entonces, ha habido dudas sobre si las aplicaciones que usan Facebook Login se han visto afectadas. Y debido a que es un error que nació en 2017, las redes sociales parecen haber dado un paso atrás en las actualizaciones de código. Mucha gente se ha quejado del comportamiento de Facebook en los últimos días. El mío, por ejemplo, trajo de vuelta a varios grupos que ya se habían ido.

No hay evidencia en el inicio de sesión de Facebook

Rosen se manifestó nuevamente solo el martes (2). Según él, al reiniciar los tokens de acceso, las cuentas de usuario estaban protegidas. Y, después del análisis de registro de todas las aplicaciones de terceros instaladas o iniciadas sesión durante el ataque, la investigación no encontró evidencia hasta el momento de que los atacantes hayan accedido a las aplicaciones usando Facebook Login, siempre que el desarrollador esté usando los SDK oficiales.

“Como precaución adicional, ya que algunos desarrolladores pueden no haber utilizado nuestros SDK, o haber verificado regularmente si los tokens de acceso de Facebook eran válidos, estamos desarrollando una herramienta para permitir que los desarrolladores identifiquen manualmente a los usuarios de sus aplicaciones afectadas. , para que puedan desconectarlos «, agregó Rosen, quien no se ha comunicado ni ha dado tiempo para la llegada de esta nueva herramienta al Desarrollador.

La rutina de los lanzamientos de nuevas funciones en Facebook continuó como de costumbre, incluidos los roles para las elecciones de 2018 , Market Place y Fan and Brand Pages. La red social declinó hacer comentarios sobre incidentes relacionados con el regreso de grupos, cierres de sesión no deseados y otras quejas que aparecieron en la propia red social y en Twitter .

El 12 de octubre , la red social actualizó el caso y declaró que el número de cuentas comprometidas era menor de lo esperado, aunque desplazó a 90 millones: “ menos personas se vieron afectadas de lo que inicialmente pensábamos. De los 50 millones de personas que han tenido acceso al token comprometido, creemos que, de hecho, a 30 millones de ellos les han robado sus tokens ” , más detalles en las últimas noticias. El sitio también explicó qué datos estaban comprometidos.