El investigador bajo el pseudónimo de “Samm0uda”descubrió una vulnerabilidad conocida como Cross Site Request Forgery (CSRF), que consiste en obligar al navegador de una víctima a llevar a cabo acciones no deseadas en una aplicación web. Se descubrió el fallo después de identificar un endpoint defectuoso que podía explotarse para eludir la defensa ante ataques de CSRF y así poder tener el control de la cuenta del usuario.

“Para que este ataque sea efectivo lo que necesita el atacante es engañar a la víctima para que haga clic en un enlace”—comentó el Samm0uda.

Entre las alternativas acciones que este fallo hubiera aceptado a un atacante están: realizar un posteo, eliminar la foto de perfil, tomar completo control de la cuenta o eliminarla definitivamente.

Samm0uda afirmo que era viable poder tomar control de la cuenta con una sola URL al descubrir los endpoints en los que el parámetro “siguiente” esté presente y permitido a una app maliciosa en nombre de la víctima y así adquirir los tokens de acceso a Facebook de la víctima.

Con acceso a los tokens de autenticación de la víctima, el exploit añade automáticamente una dirección de correo controlada por el atacante a su cuenta, permitiendo a este último tomar control total de la misma con solo resetear la contraseña y bloqueando al usuario legítimo”, explicó.

También expreso que el ataque se realiza sin que te des cuenta, este no es para un usuario especifico, sino, el que haga clic en el enlace será la víctima. Aunque, se puede evitar si el usuario es consciente de tener activo el doble factor de autenticación, a menos de que el atacante tenga acceso al código que es enviado a tu teléfono como parte del proceso de autenticación.

Por último, vale aclarar que el fallo se reportó el pasado 26 de enero y el 31 fue corregido. Facebook otorgó 25.000 dólares a Samm0uda por reportar el fallo.