Un bug en Facebook permitía obtener datos de usuarios mediante CSRF

Un investigador de la compañía de seguridad Imperva descubrió una falla de seguridad en la famosa red social Facebook, el pasado Mayo y dió a conocer los detalles el día de ayer en una nota de su blog. Ron Masas, el investigador en cuestión, explicó que esta vulnerabilidad permitía a cualquier sitio web obtener información personal pública del perfil de los usuarios: likes, intereses, situaciones sentimentales, etc. El modus operandi consistía en recopilar la información a través del uso de un iframe, ya que Facebook no disponía de las medidas de seguridad necesarias contra ataques CSRF, los cuales fuerzan a un usuario final a ejecutar acciones no deseadas en una aplicación web en la que actualmente se encuentran autenticados.

El video muestra básicamente el flujo de lo que podía realizarse, que la verdad es bastante. Pensemos en alguna empresa que quisiera realizar algún proyecto de perfilamiento para aumentar sus ventas. Primero necesitarían conocer los gustos de sus clientes. Con esta vulnerabilidad, Facebook les regalaba prácticamente en bandeja de plata toda la información necesaria. Y pues tomando en cuenta escándalos como el de Cambridge Analytica, si más empresas supieran de esta vulnerabilidad, podrían aprovecharse de la plataforma sin levantar advertencias.

La buena noticia es que Facebook ya solucionó el problema, aparentemente:

"Agradecemos el informe de este investigador a nuestro programa de recompensas de errores. Dado que el comportamiento subyacente no es específico de Facebook, hemos hecho recomendaciones a los fabricantes de navegadores y a los grupos de estándares web pertinentes para animarles a que tomen medidas para evitar que este tipo de problemas se produzcan en otras aplicaciones web."