La información privada y personal de más de 1.500 millones de usuarios de Facebook se vende en un foro popular relacionado con la piratería, lo que permite a los ciberdelincuentes y anunciantes sin escrúpulos dirigirse a los usuarios de Internet en todo el mundo.

Esto constituye el mayor y más significativo volcado de datos de Facebook hasta la fecha.

Aparentemente, no está relacionado con un volcado de datos de Facebook anterior de 2021, donde 500 millones de usuarios se vieron afectados.

Reflejos:

• Los raspadores de datos están vendiendo datos personales confidenciales de 1.500 millones de usuarios de Facebook.
• Los datos contienen los usuarios: nombre, correo electrónico, número de teléfono, ubicación, sexo e ID de usuario.
• Los datos parecen auténticos.
• Datos personales obtenidos mediante web scraping.
• Los datos se pueden utilizar para ataques de suplantación de identidad y de apropiación de cuentas.
• Los datos vendidos afirman ser nuevos a partir de 2021.

A finales de septiembre de 2021, un usuario de un conocido foro de piratas informáticos publicó un anuncio en el que afirmaba poseer los datos personales de más de 1.500 millones de usuarios de Facebook. Los datos están actualmente a la venta en la plataforma del foro respectivo, y los compradores potenciales tienen la oportunidad de comprar todos los datos de una vez o en cantidades más pequeñas.

Un posible comprador afirma haber recibido una cotización de 5.000 dólares por los datos de 1 millón de cuentas de usuario de Facebook.

Según el cartel del foro, los datos proporcionados contienen la siguiente información personal de los usuarios de Facebook:

• Nombre
• Correo electrónico
• Localización
• Género
• Número de teléfono
• ID de usuario

Aclaración: Esto no tiene nada que ver con la interrupción global de Facebook experimentada el 4 de octubre de 2021.

Actualización: después de que se publicara inicialmente esta noticia, un usuario del foro afirmó que le pagó al vendedor pero no recibió nada a cambio. El vendedor aún no ha respondido a estas acusaciones.

Todo lo que sabemos en este momento es que las múltiples muestras proporcionadas a los usuarios del foro parecían ser reales.

Las muestras presentadas en el foro muestran que los datos parecen ser auténticos.

Al cotejarlos con las filtraciones conocidas de la base de datos de Facebook, no se obtuvieron coincidencias, lo que implica que, a primera vista, los datos de muestra proporcionados son únicos y no son un duplicado o una reventa de una violación o raspado de datos previamente conocido.

El vendedor afirma representar a un grupo de web scrapers en funcionamiento durante al menos cuatro años, alegando que han tenido más de 18.000 clientes durante este tiempo.

Datos obtenidos mediante raspado

Los comerciantes afirman haber obtenido los datos raspando en lugar de piratear o comprometer las cuentas de usuarios individuales. El raspado es un proceso de extracción o recolección de datos web en el que se accede a los datos disponibles públicamente y se organizan en listas y bases de datos.

Si bien técnicamente no se ha comprometido ninguna cuenta, esto es poco consuelo para aquellos cuyos datos ahora pueden terminar en manos de comerciantes de Internet sin escrúpulos y probablemente también en manos de ciberdelincuentes.

Los especialistas en marketing poco éticos pueden utilizar estos datos para bombardear a individuos o grupos de individuos específicos con publicidad no solicitada.

El hecho de que los números de teléfono, la ubicación real y los nombres completos de los usuarios estén incluidos en los datos es especialmente preocupante. Además, el correo no deseado por SMS y notificaciones push es cada vez más frecuente a pesar de que la mayoría de los países ilegalizaron estas prácticas hace muchos años.

Los datos se pueden utilizar para poner en peligro la seguridad de los usuarios

Por ejemplo, los piratas informáticos pueden utilizar los datos extraídos para realizar sofisticados ataques de phishing o ataques de ingeniería social.

La identificación de los números de teléfono de los usuarios individuales hace posible que los ciberdelincuentes envíen mensajes SMS falsos a los usuarios afectados que fingen ser varias entidades como el propio Facebook o incluso bancos.

Luego, se invitará a los usuarios a hacer clic en un enlace para reclamar un premio, actualizar su configuración de seguridad, cambiar sus contraseñas o hacer algo similar.

Después de acceder al enlace, serán redirigidos a una versión clonada del sitio web que los perpetradores pretenden representar. Luego, si el usuario ingresa su contraseña actual real, los ciberdelincuentes podrán secuestrar la cuenta afectada.

Así es como las cuentas de Facebook e incluso los inicios de sesión bancarios en línea se venden en la web oscura por tan solo $ 10.

¿Cómo se extraen los datos de Facebook?

El raspado es el proceso de recopilar automáticamente datos en línea disponibles y accesibles al público con la ayuda de programas informáticos.

La mayoría de estos datos se obtienen simplemente eliminando los perfiles de Facebook que sus propietarios han configurado como «Públicos». Desafortunadamente, la gran mayoría de la información personal es compartida libremente y puesta a disposición del público en general por los propios usuarios de Facebook.

Otro método popular, pero ilegal, de extracción de datos es a través de encuestas o cuestionarios falsos en Facebook.

Todos los usuarios de Facebook han visto una publicación como «Descubre a tu parecido de Game of Thrones con esta encuesta» o «Haz este cuestionario para averiguar cuándo te casarás», etc. Por lo general, estos son esquemas para obtener datos personales de los usuarios.

Cada vez que alguien ingresa a una de estas encuestas o cuestionarios, permite a los creadores de estos juegos ver su información personal de Facebook, como nombre completo, correo electrónico, número de teléfono, ubicación, género y más.

Se aconseja a los usuarios de Facebook que mejoren su seguridad

Por lo general, no se recomienda que los usuarios de Facebook configuren sus cuentas para que sean completamente públicas.

Del mismo modo, uno nunca debe ingresar cuestionarios, encuestas o juegos aleatorios en Facebook a menos que lo ofrezca un editor conocido y verificado. Casi siempre, estos son, lamentablemente, esquemas utilizados para la minería y el desguace de datos.

Fuente: Privacy Affairs