Por qué nunca deberías registrarte en webs con tus cuentas de Facebook o Google

“Voy a dejar de usar Facebook para registrarme en aplicaciones y sitios online, y tú deberías hacer lo mismo”. Así es cómo te pueden acabar robando todos tus datos

Fuente: El Confidencial

Tras el mayor ataque de la historia contra Facebook, nadie sabe cuántas cuentas hackeadas se usaban también para registrarse en servicios como Uber, Instagram, Pinterest o Spotify. Facebook no las ha mencionado, pero su número podría multiplicar exponencialmente la dimensión del desastre, que se ha cifrado en más de 50 millones de perfiles afectados.

“Voy a dejar de usar Facebook para registrarme en aplicaciones y sitios online, y tú deberías hacer lo mismo”, afirmaba en su columna semanal de The New York Times el periodista experto en tecnología y negocio Farhad Manjoo. No es el único que ha expresado en los medios o redes sociales su recién nacida desconfianza hacia esta forma de registro, tras descubrir que Facebook no es invulnerable.

Y es que existen más de 100.000 sitios web que permiten esta modalidad de registro, bautizada como Facebook Connect cuando la compañía la lanzó en 2008, con un éxito tal que pronto se le unieron otros como Google o Microsoft. Hoy se llama Facebook Login y es una forma de registarse mucho más fácil para el usuario porque no debe inventar ni memorizar nuevas contraseñas: entra con sus credenciales de Facebook y son las únicas que debe recordar.

“Es lo que se llama una identidad federada”, explica el Director Técnico de Securízame, Lorenzo Martínez. El funcionamiento es sencillo: “Un usuario solicita entrar en un servidor ‘A’ usando una sesión válida de Facebook, y Facebook solicita permiso expreso al usuario para hacer esa autenticación, de forma que el usuario aparecerá en el servidor ‘A’ como autenticado por un sistema ajeno, pero será suficiente”, explica Martínez.

Es como si Facebook hubiese puesto una cerradura propia en la puerta de estos miles de servicios, para que pudieran entrar por ella las personas que tengan llave de Facebook. El problema es que esta llave puede caer en manos de ladrones y, aunque se sabía que había ataques esporádicos de suplantación de identidad, nadie había imaginado un escenario con las dimensiones del actual robo millonario de cuentas a Facebook.

La red social no ha mencionado en ningún momento si había afectados por esta vía, pero según Lorenzo Martínez “tiene sentido que los haya porque el fallo de seguridad de Facebook se basaba en la generación de ‘tokens’ que permitían impersonar a un usuario y tiene sentido que se puedan reutilizar”. Un ‘token’ es una “llave” informática que guarda las contraseñas del usuario o usuaria para aquella sesión en concreto.

Con esta llave los ladrones tienen acceso no solo a Facebook sino a todos los servicios en los que nos hayamos registrado usando la misma llave, con el nivel de control que tendría cualquier usuario legítimo. Esto significa podrían destruir o modificar lo que se les antojase, por ejemplo fechas de estancia en un apartamento de AirBnb, un billete de avión en Expedia o una cita en Tinder.

Podrían realizarse también ataques más sofisticados, usando las sesiones de los usuarios para atacar la red corporativa. Ya en julio de 2017 se mascaba esta tragedia, cuando se descubrió que era posible crear ‘tokens de acceso’ de Facebook explotando tres fallos de seguridad y usarlos para registrarse en terceros sitios. Lo que no se sabía era que también podían robarlos.