La red criminal robó miles de contraseñas en Facebook y luego se olvidó de usar la contraseña

Los ciberdelincuentes robaron contraseñas de Facebook y atrajeron a los amigos de sus víctimas a sitios que promovían el fraude de bitcoins. Luego, los investigadores descubrieron que habían expuesto toda su operación a una base de datos insegura.

Gráficos de Pixabay; ilustración de CNET

El crimen parece haber obligado a cientos de miles de usuarios de Facebook a darles contraseñas de cuentas. Luego, los estafadores descubrieron su propia operación al cometer una falla de seguridad básica: olvidaron bloquear la base de datos en la nube que almacena las credenciales robadas con su propia contraseña.

Esto significaba que cualquier persona con un navegador web podía ver información que incluía más detalles sobre cómo realizaron la operación. Los hallazgos provienen de los científicos de seguridad israelíes Noam Rotem y Ran Locar, quienes publicaron su investigación el viernes en el sitio web de seguridad vpnMentor.

Rotem y Locar han anunciado sus hallazgos en Facebook y la base de datos ya no se muestra. Facebook ha obligado a restablecer la contraseña de las cuentas afectadas.

Para robar contraseñas, los estafadores utilizaron sitios que pretendían ser servicios legítimos que ofrecían a los usuarios de Facebook que veían sus perfiles de Facebook. Según Rotem y Locara, el sitio web los envió a páginas falsas de inicio de sesión de Facebook, donde las víctimas ingresaron contraseñas de cuentas. Este truco parece haber fallado a cientos de miles de usuarios, lo que resalta la importancia de asegurarse de seguir enlaces legítimos y descargar aplicaciones verificadas antes de intentar iniciar sesión en cualquier servicio.

Según lo que encontraron en la base de datos expuesta, Rotem y Locar creen que los estafadores usaron cuentas de Facebook para enviar contenido no solicitado utilizando los perfiles de sus víctimas en Facebook y atraer a los amigos de sus víctimas al esquema de bitcoin.

Este incidente es solo el ejemplo más reciente de una base de datos desprotegida que contiene información confidencial. Rotem y Locar ejecutan software que busca en Internet bases de datos no seguras, y sus esfuerzos suelen exponer los datos de los consumidores que permanecen expuestos a empresas legítimas con malas prácticas de seguridad. Otros datos encontrados en las bases de datos expuestas incluyen registros de pacientes de clínicas de cirugía plástica en todo el mundo, salarios esperados de solicitantes de empleo en varios países y números de identificación nacional de visitantes de cine en Perú.

Sin embargo, a veces resultó que los datos fueron robados por piratas informáticos o extraídos en masa de los perfiles de las redes sociales, lo que va en contra de los principios de las plataformas. Locar dijo que él y Rotem se habían preguntado inicialmente si la base de datos pertenecía a Facebook. Pero agregó: “estaba claro que se trataba de un delito cibernético”.

Los sitios web que ofrecen información sobre quién vio el perfil de un usuario en Facebook no cumplieron su promesa, pero recopilaron información de inicio de sesión de Facebook. Con este enfoque alienado, los estafadores fingieron ser sus víctimas y publicaron información sobre servicios y noticias relacionados con bitcoin. Los investigadores estiman que cientos de miles de usuarios de Facebook hicieron clic en enlaces que los llevaron a una plataforma de comercio de bitcoins falsa, donde se les pidió que pagaran alrededor de $ 300 en depósitos para comenzar a operar con criptomonedas.

Aunque Facebook ofrece a los usuarios algunos datos sobre cuántas personas han visto la página que ejecutan, la compañía ha dicho durante años que nunca descubrirá quién está mirando los perfiles. Sin embargo, los estafadores se han ofrecido repetidamente a mostrar a los usuarios esta información en varios fraudes a lo largo de los años. Una simple búsqueda en Google de “¿quién vio mi página de Facebook?” Hace algunas afirmaciones falsas y cuestionables sobre cómo las personas pueden averiguarlo.

En este caso, la táctica parece haber tenido éxito. Rotem y Locar no pueden decir con certeza cuántos usuarios pasaron sus contraseñas al círculo criminal, pero encontraron millones de registros en la base de datos, que estimaron pertenecían a cientos de miles de cuentas.

“Funciona como 2007, ¿no?”, Dijo Locar.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *