El experto en ciberseguridad Samip Aryal, quien actualmente encabeza la lista de recompensas de Facebook, acaba de anunciar información sobre una vulnerabilidad de seguridad en la red social que permite a los hackers explotar las cuentas de las víctimas. El incidente se descubrió y se solucionó el 2 de febrero, pero no se anunció públicamente hasta un mes después (debido a las normas de seguridad).
Según Aryal, la vulnerabilidad se relaciona con el proceso de restablecimiento de contraseña de Facebook, que utiliza una función opcional para enviar un código de verificación de 6 dígitos a otro dispositivo en el que el usuario haya iniciado sesión o esté registrado previamente. Este código verifica la identidad del usuario y se utiliza para completar el proceso de restablecimiento de contraseña en un dispositivo nuevo (uno en el que nunca se ha iniciado sesión).
Durante el análisis de la consulta, descubrió que Facebook envía un código de verificación fijo (una secuencia de números que no cambia), válido por 2 horas, y no tiene medidas de seguridad para prevenir ataques de fuerza bruta, un tipo de acceso no autorizado que utiliza un método de probar todas las combinaciones posibles de contraseñas para encontrar la secuencia correcta de caracteres.
Cuenta de Facebook comprometida simplemente por adivinar las credenciales de inicio de sesión.
Esto significa que, en menos de dos horas tras recibir el código, un hacker puede introducir el código de activación incorrectamente innumerables veces sin que Facebook tome ninguna medida preventiva. Normalmente, si el código o la contraseña se introducen incorrectamente demasiadas veces, un sistema de seguridad suspenderá temporalmente el acceso a la cuenta sospechosa.
Puede que dos horas no parezcan mucho tiempo para una persona promedio, pero es totalmente alcanzable para los hackers que utilizan las herramientas adecuadas.
El atacante solo necesita saber el nombre de inicio de sesión de la cuenta objetivo para enviar una solicitud de código de verificación y luego aplicar un implacable ataque de fuerza bruta durante 2 horas, hasta que pueda restablecer fácilmente la contraseña, obtener el control y "expulsar" las sesiones del propietario real de la cuenta antes de que puedan hacer algo.
Según el Sr. Vu Ngoc Son, director de tecnología de NCS, este tipo de ataque supera la capacidad de defensa del usuario y se conoce como ataque de clic cero. Con este método, los hackers pueden robar la cuenta de la víctima sin que esta tenga que hacer nada.
"Cuando se explota esta vulnerabilidad, la víctima recibe una notificación de Facebook. Por lo tanto, si recibes repentinamente una notificación de Facebook sobre la recuperación de contraseña, es muy probable que tu cuenta esté siendo atacada y secuestrada", compartió el Sr. Son. El experto afirmó que, con vulnerabilidades como la mencionada, los usuarios solo pueden esperar a que el proveedor solucione el problema.
Facebook es una red social popular en muchos países , incluido Vietnam, y sus usuarios suben y almacenan una gran cantidad de datos personales al usarla. Por lo tanto, los hackers suelen atacar y tomar el control de las cuentas de la plataforma para llevar a cabo fraudes.
Uno de los métodos más comunes consiste en hacerse pasar por las víctimas y contactar a familiares de su lista de amigos para solicitar transferencias bancarias y estafarles. Este método, con la ayuda de la tecnología Deepfake para crear videollamadas falsas, ha engañado a muchas personas. Para ganarse aún más la confianza, los estafadores incluso compran y venden cuentas bancarias con nombres que coinciden con los de los titulares de cuentas de Facebook para facilitar sus actividades fraudulentas.
Otra forma de ataque consiste en secuestrar cuentas y usarlas para enviar enlaces o archivos con malware, difundiéndolos en redes sociales. Este malware ataca y roba información personal (como números de cuentas bancarias, fotos, contactos, mensajes y otros datos almacenados en la memoria del dispositivo) tras activarse en el dispositivo objetivo (el dispositivo de la víctima).
[anuncio_2]
Enlace de origen
Kommentar (0)