Este fallo afecta al sistema de mensajes privados de la red social propiedad de Zuckerberg y permite enviar un texto suplantando la identidad de cualquier usuario.
Arias asegura que “es realmente sencillo” aprovechar esta vulnerabilidad y para demostrarlo explica los pasos que hay que seguir para enviar mensajes privados haciéndose pasar por otra persona creando un formulario web.
Se trata de un fallo que puede ocasionar graves malentendidos y si no que se lo digan a la redactora del diario El Mundo, que recibió un mensaje supuestamente enviado por su jefe en el que le decía: “No has hecho caso a los correos que te ha enviado @minipunk, así que te quedas sin vacaciones”. Por suerte para la redactora, @minipunk es Alfredo Arias, que utilizó la vulnerabilidad descubierta para llamar así la atención del periódico.
“Creo que es una vulnerabilidad importante ya que (pese a ser delito) lo sencillo que es crear un formulario o falsificar el remitente de correo”, explica Arias en su blog, “lo que se puede llegar a hacer con esto es inimaginable”.
Este albañil apasionado de las redes sociales se ha puesto en contacto con el equipo de seguridad de Facebook para informarles del fallo aunque por el momento no ha recibido respuesta alguna. Alfredo Arias (blog)
Actualización:
Ya hay una página pública con el formulario para que puedas enviar los mensajes y hacer creer que lo envía otro, es de ivangarcia.com. Facebook debe actuar rápido si no quiere complicaciones
theinquirer
| Tweet |
