La mañana del 4 de octubre, el especialista rumano en ciberseguridad Miklos Zoltan publicó un artículo en su página alertando de que se estaban vendiendo millones de datos personales de usuarios de Facebook en un foro de la Dark Web. No sabía que, doce horas más tarde, tanto Facebook como WhatsApp e Instagram iban a sufrir el mayor apagón de su historia y que su web, Privacy Affairs, acabaría siendo citada por la prensa internacional.
Pero su éxito se vio ensombrecido por una interpretación errónea que hicieron tanto periodistas como usuarios de redes sociales, que entendieron que esta supuesta filtración de datos había sido consecuencia de la caída de los sistemas de Facebook. En realidad, esto ocurrió casi dos semanas antes del apagón y no guarda ninguna relación con la caída de las redes el 4 de octubre.
A raíz de la publicación de Zoltan en Privacy Affairs, circularon multitud de mensajes con desinformación ─por los que nos habéis preguntado a través de nuestro servicio de verificación por WhatsApp─ asegurando que “se roban datos personales de 1.500 millones de usuarios en la caída de Facebook” o que la red social fue atacada por “hackers”. Algunos incluso situaban detrás de este ciberataque al grupo Anonymous. Es falso y te lo explicamos.
La supuesta filtración de datos se publica en la Dark Web el 22 de septiembre y no es un hackeo
El miércoles 22 de septiembre, doce días antes del apagón de Facebook, apareció en un foro frecuentado por hackers y alojado en el conocido como “Internet profundo” una entrada de alguien que decía tener datos personales de 1.500 millones de usuarios de la red social, y que los puso a disposición del público a cambio de dinero.
Quienes compran este tipo de datos son movidos, generalmente, por intereses espurios como propagar campañas de phishing o suplantar identidades. Hacerse con ellos no es muy difícil. Estos malhechores lo hicieron ─según reconocen ellos mismos─ mediante scraping (recolección de datos), que consiste en rastrear la información pública sobre una determinada web y almacenarla.
Como explica a Newtral.es el experto en ciberseguridad Sergio Carrasco Mayans, “no es un hackeo en el sentido de que no se accede a nada que esté protegido”.
De hecho, la información con la que se hicieron los supuestos ciberdelincuentes que escrapearon a Facebook no va más allá de nombres, correos electrónicos, sexo, intereses o números de teléfono, de forma que se limita a la información que hicieron pública los usuarios en sus propios perfiles y no incluye contraseñas o información privada.
Samuel Parra, experto en protección de datos, coincide en el diagnóstico: “No es un hackeo porque los datos son públicos. Si en mi perfil pongo que soy varón y de Murcia, ellos [los malhechores] hacen una base de datos independiente a la de Facebook con esos datos y los venden categorizados”.
Para ello, explica Sergio Carrasco, “se programa un script que va buscando los enlaces dentro de la página o modificando los parámetros en la barra de dirección, de manera que va trabajando como una tela de araña por los perfiles dentro de la red social y almacenando toda esa información en una base de datos”. En ningún momento se adentraron en los sistemas de Facebook, lo que sí supondría un hackeo.
Hasta aquí, todo puede ser legal porque es información pública aportada por los usuarios en sus perfiles, pero el propósito era que todos estos datos acabaran siendo comercializados a través de la Dark Web. “Acceder a esos datos no es ilegal; el empleo que se haga de ellos, sí”, comenta Carrasco, quien, además de ingeniero de Telecomunicaciones y experto en ciberseguridad, es abogado especializado en este ámbito.
La “filtración de datos” no pudo provocar la caída de Facebook
Por tanto, los malhechores no accedieron a los sistemas de Facebook ni podrían haber provocado la caída de la red social del pasado 4 de octubre, cuando Facebook, Instagram y WhatsApp estuvieron inoperativas durante seis horas.
Lo que ocurrió entonces, precisa Carrasco, “fue un problema de la propia estructura de Facebook y requiere acceso a los sistemas que configuran dónde se encuentran los servidores de la red. Se necesita un acceso mucho más profundo, ser un administrador. En cambio, en el scraping ─lo que hicieron los malhechores de la filtración─ son usuarios externos que capturan lo que la gente deja ver de sí mismos”.
En el caso de la filtración de datos “no ha habido brecha de seguridad ni hackeo, sólo compilar datos públicos que tienen valor comercial”, indica Samuel Parra a Newtral.es. Lo relevante es la cantidad de datos escrapeados de usuarios, pues, de ser cierto lo que dicen los supuestos hackers que venden la información, se trataría del mayor robo de datos de la historia de Facebook, como dio cuenta Miklos Zoltan en su artículo de Privacy Affairs.
La red social Facebook publicó un comunicado oficial el mismo 4 de octubre asegurando que no tenían constancia de que los datos de los usuarios se hubieran visto comprometidos como consecuencia de la caída.
El error de algunos medios: relacionar la filtración con la caída de Facebook
Como Miklos Zoltan se hizo eco de la filtración de datos el mismo día en que Facebook, WhatsApp e Instagram se cayeron, muchos pensaron que ambas cosas estaban estrechamente relacionadas, de forma que usuarios e incluso portales de noticias publicaron que el apagón de estas redes sociales se debía a un “hackeo” que había resultado en el robo de los datos de 1.500 millones de usuarios, pero es falso.
Al ver la dimensión de su publicación y que estaba siendo citado por portales de noticias de medio mundo, el propio Zoltan, que fue el primero en publicar la filtración de datos, tuvo que actualizar su artículo precisando que la caída de Facebook había sido una “casualidad” temporal y que la filtración de datos se sabía desde el 22 de septiembre, aunque él lo publicara el 4 de octubre.
El autor del artículo, siendo conocedor de que, aunque inintencionadamente, había dado pie a la confusión, escribió que “no me esperaba esto” y que pensó que “nadie vería mi artículo más allá de un par de personas que nos siguen por Twitter”, al tiempo que insistió en que la caída de Facebook y la filtración de datos no tenían relación entre sí y que la coincidencia con su artículo fue una “extraña casualidad temporal”.
Resumen
A fecha de 7 de octubre, no hay pruebas de que la caída de Facebook del pasado 4 de octubre de 2021 se tratara de un ataque de hackers y la compañía lo ha desmentido. No obstante, es falso que la supuesta filtración de datos personales de más de 1.500 millones de usuarios tenga relación con una brecha de seguridad durante el apagón sufrido el 4 de octubre en las redes de Facebook, Instagram y WhatsApp. Además, dicha filtración de datos ocurrió el 22 de septiembre, doce días antes de la caída de Facebook, y sólo consistió en un escrapeo de la información pública de perfiles, lo que no implica adentrarse en los sistemas de la red social.
Fuentes:
- Sergio Carrasco Mayans, ingeniero de Telecomunicaciones, abogado y experto en ciberseguridad
- Samuel Parra, experto en protección de datos
- Privacy Affairs
- Comunicado de Facebook (4/10/2021)
