Filtración de datos de Facebook

Las categorías de datos verificadas incluyen fechas de nacimiento, direcciones de correo electrónico, información sobre el empleador, género, ubicaciones geográficas, nombres, números de teléfono y situaciones sentimentales. El aspecto más crítico del conjunto de datos es la presencia generalizada de números de teléfono; las direcciones de correo electrónico aparecen solo en una proporción menor de las cuentas, no en todas. Los recuentos de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. La combinación de un número de teléfono y un nombre ofrece una base sólida para mensajes personalizados, falsas notificaciones de envío, avisos que suplantan a bancos y estafas de recuperación de cuentas.

Campos como la fecha de nacimiento, la ubicación y el empleador aportan información de apoyo que da credibilidad al mensaje del atacante. Los campos del perfil, como la situación sentimental y el género, no permiten acceder directamente a cuentas financieras; sin embargo, pueden utilizarse para seleccionar objetivos, ejercer presión social e intentar persuadir a una persona. La ausencia de contraseñas entre las categorías de datos verificadas no significa que el riesgo haya desaparecido. Si el número de teléfono sigue siendo el mismo, el atacante puede tener parte de la información que se solicita para verificar la identidad en las pantallas de recuperación de cuentas o durante las interacciones con atención al cliente.

La fecha de la filtración consta como el 1 de agosto de 2019, la fecha verificada de incorporación como el 4 de abril de 2021 y la fecha del último cambio en la verificación como el 6 de abril de 2021. Se considera que el número de cuentas afectadas es de 509 458 528. En distintas noticias pueden aparecer cifras brutas superiores; la cifra utilizada aquí se basa en el recuento verificado de registros para las pantallas de búsqueda y notificación a los usuarios. Los campos filtrados se limitan a información de perfil y de contacto; la información financiera, la información de salud, el contenido de mensajes privados y las contraseñas no forman parte del alcance verificado de este incidente.

La causa principal del incidente es el uso abusivo de un antiguo proceso de búsqueda de personas que permitía vincular números de teléfono con perfiles de usuarios. La empresa informó de que había realizado cambios en ese proceso en 2019. Sin embargo, no puede considerarse que el riesgo haya quedado en el pasado, ya que el conjunto de datos circuló de forma gratuita y con amplio acceso en 2021. Como contenía números de teléfono, nombres e información contextual de los perfiles que, para la mayoría de los usuarios, permanecían sin cambios durante muchos años, el impacto en la seguridad puede persistir durante mucho tiempo.

El mayor riesgo corresponde a las personas que tienen su número de teléfono en su perfil de Facebook y siguen utilizando ese mismo número. Quienes utilizan su número de teléfono como elemento de autenticación en servicios bancarios, cuentas en la nube, correo electrónico, sistemas de trabajo o gestiones con el operador deben extremar las precauciones. Los usuarios con campos visibles, como el empleador, la ubicación o la fecha de nacimiento, también pueden quedar expuestos a intentos de ingeniería social más convincentes. El riesgo es más amplio para el pequeño grupo cuya dirección de correo electrónico se ha filtrado, porque disponer del teléfono y del correo electrónico conjuntamente facilita dirigir estafas de recuperación de cuentas y restablecimiento de contraseñas contra esas personas.

También existe un riesgo indirecto para los usuarios que han cedido su antiguo número a otra persona. Si el número que aparece en el conjunto de datos pertenece ahora a otro usuario, el nuevo titular puede recibir llamadas o mensajes destinados a otra persona; el propietario del perfil anterior puede sufrir confusiones de identidad por la antigua asociación del número con su perfil. Los propietarios de pequeños negocios, los funcionarios públicos, los creadores de contenido y los empleados que se relacionan con clientes por teléfono tienen mayor visibilidad, por lo que pueden sufrir intentos de uso indebido con más frecuencia.

La prioridad es comprobar qué cuentas siguen utilizando el número de teléfono como medio de autenticación o de recuperación de la cuenta. Siempre que sea posible, conviene optar por una aplicación de autenticación o una llave de seguridad física en lugar de SMS. En las cuentas de redes sociales, se debe comprobar quién puede encontrar el número de teléfono, quién tiene acceso a la información del perfil y si las opciones de recuperación de la cuenta están actualizadas. Antes de hacer clic en cualquier enlace, se deben verificar de forma independiente, a través del canal oficial del servicio, los códigos de verificación, las alertas bancarias, los mensajes de entrega, las ofertas de empleo o los mensajes sobre llamadas de soporte que procedan de desconocidos.

Si la cuenta con el operador ofrece opciones de seguridad, como contraseñas adicionales o verificación de identidad en una tienda para sustituir la SIM o portar el número, conviene activarlas. Los usuarios afectados también deben utilizar contraseñas únicas y una autenticación de dos factores sólida, y revisar el historial de sesiones de las cuentas críticas asociadas a la misma dirección de correo electrónico. Se deben cerrar las sesiones desconocidas de la cuenta de Facebook, revisar la lista de dispositivos de confianza y reducir la visibilidad del perfil. Aunque este incidente no incluye contraseñas, los atacantes pueden utilizar la información del perfil que tienen a su disposición como pretexto para restablecerlas.

Aunque el número de teléfono es un medio de comunicación práctico, funciona como un identificador duradero. Por tanto, en lugar de mantener el mismo número visible en todos los servicios, es más seguro utilizarlo solo en las cuentas donde sea realmente necesario. Conviene reducir la visibilidad pública de campos como la fecha de nacimiento, el empleador, la ubicación y la situación sentimental en los perfiles de redes sociales. Utilizar canales de comunicación distintos para las cuentas profesionales y personales dificulta que un único conjunto de datos permita vincular numerosas cuentas.

Los equipos de las empresas deben asumir que los números de teléfono de los empleados y la información sobre su empleador podrían circular fuera de la organización, y no basarse únicamente en solicitudes telefónicas en los procesos de soporte, recursos humanos y finanzas. En los procesos de atención al cliente y asistencia técnica, la información fácil de obtener, como la fecha de nacimiento, el número de teléfono o la dirección, no debe ser el único medio de verificación. Por su parte, los usuarios particulares deben convertir en una rutina de protección a largo plazo hábitos como revisar periódicamente la privacidad, actualizar las opciones de recuperación de cuentas, denunciar los SMS sospechosos y actualizar la autenticación de dos factores.

El resultado no significa que su contraseña se haya filtrado ni que alguien haya accedido directamente a su cuenta. Aun así, debe estar atento a los mensajes dirigidos que pueda recibir en su número de teléfono, las falsas llamadas de soporte, los intentos de sustitución fraudulenta de la SIM y las estafas de recuperación de cuentas. La prioridad es reforzar la autenticación de dos factores en las cuentas críticas vinculadas a su número de teléfono, reducir la visibilidad del perfil y no compartir con nadie los códigos de verificación que no haya solicitado.

Si el resultado de la comprobación es negativo, solo significa que no se ha encontrado ninguna coincidencia en este conjunto de datos; pueden ser necesarias comprobaciones independientes para otros incidentes o conjuntos de datos más recientes. Si lleva años utilizando su número de teléfono, conviene tomar decisiones de seguridad teniendo en cuenta que la información antigua de su perfil puede seguir circulando. Especialmente si ha cambiado de número, compruebe que el antiguo se haya eliminado de las opciones de recuperación de cuentas y que el nuevo se utilice solo en los servicios necesarios. Esta página busca mostrar al usuario, sin alarmismo, qué datos suponen un riesgo y qué medidas deben tener prioridad.