Millones de tel¨¦fonos de usuarios de Facebook aparecen en una base de datos abierta en Internet

Facebook ha confirmado que 419 millones de n¨²meros de tel¨¦fono de sus usuarios han sido encontrados en una base de datos sin contrase?a en Internet. El documento inclu¨ªa solo dos datos: el n¨²mero p¨²blico del identificador personal de Facebook, que es sencillo de enlazar con el nombre del usuario, y el n¨²mero de tel¨¦fono.

La web tecnol¨®gica Techcrunch ha publicado el hallazgo gracias a una informaci¨®n de Sanyam Jain, investigador de la Fundaci¨®n GDI. Jain no fue capaz de encontrar al due?o de la base de datos que estaba sin proteger con contrase?a y contact¨® con Techcrunch para evitar que los datos siguieran disponibles. Cuando Techcrunch llam¨® al host de la base de datos, esta fue retirada.

Seg¨²n la Fundaci¨®n GDI, el mayor grupo de n¨²meros de tel¨¦fono afectados por esta filtraci¨®n son 131 millones de estadounidenses, seguido de 50 millones de vietnamitas y 18 millones de brit¨¢nicos. A preguntas de EL PA?S, ni GDI ni Facebook han podido dar detalles de cu¨¢ntos n¨²meros espa?oles o latinoamericanos hab¨ªa en esta filtraci¨®n. "Es imposible comprobar todos los datos as¨ª que nuestros investigadores escogen una selecci¨®n al azar y preguntan por perfiles de perfil alto, lo que nos ayuda a priorizar la severidad de la filtraci¨®n", dice un portavoz de GDI.

Facebook ha admitido que esos datos proceden su aplicaci¨®n: "Esta base de datos es vieja y parece tener informaci¨®n obtenida antes de los cambios que hicimos el a?o pasado para retirar la opci¨®n de que la gente encontrara a otros a trav¨¦s de sus n¨²meros de tel¨¦fono. La base de datos ha sido retirada y no vemos ninguna evidencia de que haya sido comprometida ninguna cuenta de Facebook". La compa?¨ªa tambi¨¦n defiende que muchos de esos n¨²meros en la base de datos estaban duplicados.

Cuando Facebook dice "vieja" se refiere a antes de abril de 2018. Facebook permit¨ªa entonces que un usuario encontrara a otro solo mediante su n¨²mero de tel¨¦fono. "Actores maliciosos han abusado estas funciones para escrapear?[raspar] informaci¨®n del perfil p¨²blico introduciendo n¨²meros de tel¨¦fono o emails que ya ten¨ªan", dec¨ªa Facebook en un post de 2018 donde anunciaba este cambio.

"La base de datos ha sido retirada y no vemos ninguna evidencia de que haya sido comprometida ninguna cuenta de Facebook", dice la compa?¨ªa

Facebook permit¨ªa de un modo sencillo vincular n¨²meros de tel¨¦fono con sus propietarios. "Por la escala y la sofisticaci¨®n de la actividad que hemos visto, creemos que la mayor¨ªa de gente en Facebook pudo haber tenido su perfil p¨²blico escrapeado?de este modo", escrib¨ªa la red en el post.

Facebook emplea el t¨¦rmino t¨¦cnico "escrapeo" usado en c¨ªrculos inform¨¢ticos para recoger datos brutos disponibles en p¨²blico pero que no est¨¢n reunidos en una base de datos. No es algo ilegal, pero que la web propietaria de los datos no permite que sea accesible con facilidad. Desde la compa?¨ªa dicen que hoy siguen haciendo esfuerzos para evitar el "escrapeo" de datos.

Una vez m¨¢s

La aparici¨®n de esta base de datos flotando por Internet es un nuevo recordatorio de los "descuidos" de seguridad de Facebook que han ido emergiendo desde Cambridge Analytica, que no dej¨® ser una filtraci¨®n masiva de informaci¨®n vinculada a 80 millones de usuarios. La poca vigilancia o esmero por la privacidad de sus usuarios de Facebook en los ¨²ltimos a?os viene ahora a perjudicar a sus usuarios.

La gravedad de estas filtraciones no es solo que se "comprometa una cuenta de Facebook", como dice la compa?¨ªa en su comunicado. La revelaci¨®n de informaci¨®n personal de usuarios permite ataques refinados como el duplicado de tarjeta sim (o sim swapping) u otros de ingenier¨ªa social. Mediante el duplicado de sim, un atacante puede reunir desde distintas fuentes nombre, direcci¨®n y n¨²mero de tel¨¦fono de un usuario para convencer a una operadora de m¨®vil de traspasar el n¨²mero de una sim a otra, permitiendo as¨ª el control de un dispositivo desde otro.

Hace pocos d¨ªas, el fundador de Twitter, Jack Dorsey, fue v¨ªctima de uno de estos trucos. Los atacantes lograron tuitear mensajes racistas y ofensivos mediante el m¨®vil desde la cuenta de @jack.