Si. Facebook ha sido hackeado. La compañía ha encontrado una vulnerabilidad (3, en realidad) en el código de su plataforma la cual ha sido aprovechada por los ciberdelincuentes para acceder a la información de 50 millones de usuarios. Si usted ha tenido que reingresar a la aplicación – y de paso a Instagram, a Facebook Messenger, a Facebook Pages y otras páginas de terceros – es posible que su información haya sido comprometida.

Lo que sabemos…

Utilizando 3 vulnerabilidades diferentes del código de la plataforma los ciberdelincuentes aprovecharon una vulnerabilidad asociada a la función de “ver como” para obtener acceso a los tokens de acceso de al menos 50 millones de cuentas (el token es el que le permite mantener la plataforma abierta en su computador o dispositivo móvil sin tener que volver a poner su clave cada vez que visita Facebook.com).

Si quiere más detalles del tema vea el video de Guy Rosen, VP de Desarrollo de Productos de Productos aquí o lea el post que ha emitido la compañía aquí.

No es tan grave como suena….

Yo sé. 50 millones de personas es más o menos la población total de un país como Colombia. Pero con cerca de 1,300 millones de usuarios activos, esto representa menos del 4% de los usuarios de la plataforma. Además, la compañía ha dicho – por ahora – que los atacantes solo han logrado acceder a la información básica de los usuarios: género, fotos, ciudad de residencia y lugar de estudios y obtener la información de los tokens.

… pero es más grave de lo que parece

La compañía no sabe, aún, quienes son los atacantes ni cuanto tiempo han tenido acceso a la vulnerabilidad (aunque parece que fue solo durante 3 días) ni que pueden haber hecho con ella. Y el hecho de que hayan podido robar la información de los tokens de acceso quiere decir que estos han podido conectarse a las cuentas de las víctimas de manera ilimitada y no controlada durante este tiempo, ver toda la información suya y de sus contactos, descargar alguna de esta información y hacerse pasar por usted.

Y no son sólo las credenciales de Facebook las que pueden haber sido expuestas. Si usted usa Instagram, Facebook Messenger o Facebook pages asociadas a su cuenta de Facebook la información de esas apps puede haber sido expuesta también. Incluso, si usted es de los que usa la funcionalidad de registrarse en otras páginas web, apps o servicios de terceros utilizando sus credenciales de Facebook (Registrate con Facebook) estas también pueden hacer parte del inventario de información al que han tenido acceso los ciberdelincuentes.

Su cuenta no necesariamente fue vulnerada

Si entre ayer y hoy le tocó volver a loguearse para entrar a su cuenta de Facebook y demás no necesariamente quiere decir que la información de su cuenta fue vulnerada. Además de las 50 millones de cuentas que sufrieron el breach la compañía decidió resetear el acceso de 40 millones de cuentas adicionales, de usuarios que han utilizado la funcionalidad de “ver como” en algún momento.

Si la información de su cuenta en realidad ha sido expuesta usted verá una notificación en la parte superior de la página / app indicándole este hecho. De lo contrario, usted ha sido deslogueado de la aplicación de manera preventiva

¿Qué hago?

He visto a muchos proclamando que este es el momento para salirse de la red social. Entiendo su posición más no la comparto. Creo que antes de llegar a dicho extremo lo primero que hay que hacer es tomar alguna medidas de precaución (independiente de si su información ha sido expuesta o no):

1. Revise que Apps y sitios web están conectados a su cuenta de Facebook. Para hacerlo ingrese a Configuración > Aplicaciones y Sitios Web y valide en las 3 pestañas cuáles han sido utilizados recientemente, cuáles ya están caducados y cuáles han sido eliminados. Seleccione todas esas a las que alguna vez les dio acceso y elimínelas.
2. Revise desde qué dispositivos está conectado a su cuenta de Facebook (y cierre todas las sesiones que no está activamente utilizando). Para hacerlo vaya a Configuración > Seguridad e Información > Dónde iniciaste Sesión
3. Cambie su password. Ya mismo. Para hacerlo vaya a Configuración > Seguridad e Información > Cambiar Contraseña 
4. Como sé que seguro ha utilizado esa clave en otros sitios web / apps / servicios cambie la clave en todos esos sitios y – POR FAVOR – deje de reutilizarla!! Es hora, en serio, de utilizar un administrador de passwords que le ayude a generar claves seguras y que le facilite su utilización de tal manera que no las reutilice.
5. Valide sus posts de los últimos días y mire si ve algo extraño, algo que haya compartido o comentado o un nuevo contacto con el que se haya conectado pero que no que recuerde haber hecho. Bórrelo.
6. Revise las preferencias de privacidad de su cuenta en general (Configuración > Privacidad) y en especial la visibilidad de sus de su posts actuales y pasados (Quíén puede ver las publicaciones que hagas a partir de ahora y Limita los destinatarios de tus publicaciones antiguas en tu biografía)
7. Active la autenticación en 2 pasos para asegurar que si alguien va a conectar a su cuenta desde un dispositivo no reconocido va a requerir un código adicional de acceso. Para hacerlo vaya a Configuración > Seguridad e Información > Usar Autenticación en dos pasos y de una valide qué dispositivos ya registrados y que no requieren un código de inicio de sesión
8. Active la opción de recibir alertas cuando sobre inicios de sesión no reconocidos. Para hacerlo vaya a Configuración > Seguridad e Información > Configurar Seguridad Adicional