La gran pifia de Facebook: de 200 a 600 millones de contraseñas expuestas desde 2012
20.000 empleados de la compañía han tenido acceso. 2.000 han buscado entre archivos.
Con 2018 atrás, pensábamos que el ‘Annus Horribilus’ de Facebook había quedado atrás, y parecía que este 2019 la red social y uno de los gigantes de la Red iba a mirar hacia delante y corregir todos los problemas. No más fallos de seguridad, no más accidentes con los datos privados de millones de usuarios en el gran escándalo de Cambridge Analytica. Pero parece que no, que vamos a ir de sufrimiento en sufrimiento con la red social, sobre todo cuando se produzca la temida fusión entre las bases de datos de Facebook Messenger, WhatsApp e Instagram. ¿Por qué? Pues por cosas como esta.
Millones de contraseñas almacenadas sin seguridad
La enésima transgresión de la privacidad en los últimos 12 meses es una de las más graves que se ha producido en la Red Social. De hecho lo es tanto, que la propia Facebook ha lanzado un post en su blog para informar de ello. Y es que según ha contado un empleado senior de Facebook a la web Krebs on Security, resulta que la compañía ha tenido durante años almacenadas en formato de texto plano cientos de millones de contraseñas de otros cientos de millones de usuarios. En texto plano significa que no estaban cifradas como deberían por los sistemas de la red social, y que básicamente cualquier empleado de la compañía con las credenciales necesarias tenía acceso a ellas.
Lo peor de todo es que, según la fuente, el error no lleva un par de semanas o un par de años, sino casi un par de lustros, desde el año 2012 nada menos. 7 años en los que un número de hasta 20.000 empleados de Facebook han podido a acceder a una cantidad de passwords estimada entre 200 y 600 millones de contraseñas. De hecho, según el registro de accesos, hay 2.000 ingenieros y/o desarrolladores de la compañía que “hicieron aproximadamente unos 9 millones de búsquedas internas de elementos de datos que contuvieran contraseñas de usuarios en texto plano”.
A cambiar la contraseña OTRA VEZ
Según el post oficial de Facebook, “como parte de nuestras revisiones rutinarias de seguridad, en enero detectamos que las contraseñas de algunos usuarios estaban siendo almacenadas dentro de nuestros sistemas en un formato legible. Este hallazgo llamó nuestra atención porque los procesos de login están diseñados para ocultar las contraseñas, usando técnicas que las transforma en ilegibles. Ya hemos solucionado este asunto y, de manera preventiva, estaremos notificando a todas las personas cuyas contraseñas fueron guardadas de esta manera”.
La red social rápidamente señala que “estas claves nunca fueron visibles para nadie fuera de Facebook y no hemos hallado ninguna evidencia hasta el momento de que haya habido abusos internos o accesos inapropiados”, lo que contrasta con lo dicho por la fuente anónima a Krebs sobre los accesos registrados de hasta 2.000 empleados, de los cuales al parecer ninguno dijo nada del error hasta hace dos meses. Por descontado “Estimamos que vamos a notificar a cientos de millones de usuarios de Facebook Lite y a decenas de millones de otros usuarios de Facebook e Instagram”, por lo que si te avisan de Facebook, te tocará cambiar otra vez la contraseña. Otra vez. Y de poste en Instagram también.
Es por eso que la idea de mezclar las infraestructuras de WhatsApp, Instagram y Messenger da tanto miedo, porque de producirse otro error de seguridad así, ¿entonces qué? ¿Nos toca cambiar el pass de hasta 4 apps?