Resumen.

En el presente trabajo se documenta los sistemas de vulnerabilidades y detección

de intrusos de la empresa Facebook utilizando ejemplos de casos reales e
información de la empresa.

Falla y detección de vulnerabilidad de

Facebook
Las fallas de seguridad en redes sociales pueden tener consecuencias
desastrosas para las personas debido a su uso masivo y a la cantidad de
información confidencial que circula por estas plataformas. Amol Baikar,
investigador especialista en análisis de vulnerabilidades ha reportado el hallazgo
de una vulnerabilidad día cero en una función de inicio de sesión en Facebook que
debería ser considerada de gran seriedad para los usuarios. 
La vulnerabilidad está relacionada con la función “Iniciar sesión con Facebook”
está basada en el protocolo de autorización Open Authorization 2.0 (OAuth 2.0)
para realizar un intercambio de tokens entre el sitio oficial de la red social y sitios
de terceros. De ser explotada, la falla permitiría a un actor de amenazas tomar
control del flujo de OAuth y extraer el token de acceso, comprometiendo las
cuentas de los usuarios.
El kit de desarrollo de software (SDK) de Facebook para JavaScript utiliza el
endpoint “/connect/ping” para generar un token de acceso y redirigir una URL
configurada a “XD_Arbiter”, que está en la lista blanca de todas las aplicaciones
de forma predeterminada. En segundo plano, el SDK de inicialización crea un
iframe proxy para la comunicación entre dominios. El marco proxy devuelve el
token, el código o el estado desconocido no autorizado a través de la
API postMessage(). 

Si bien el endpoint estaba adecuadamente protegido contra otras

fallas de seguridad conocidas, el especialista en análisis de
vulnerabilidades decidió probar otras vías para modificar el flujo de
autenticación y robar el token de acceso del usuario objetivo.  
La intercepción del token se completa agregando un nuevo número telefónico para
registrarse en la cuenta objetivo.  La explotación exitosa de esta vulnerabilidad
brinda a los actores de amenazas privilegios completos de escritura y lectura,
incluyendo mensajes, fotos y videos, siempre y cuando los controles de privacidad
de la cuenta objetivo no se hayan personalizado.
El experto en análisis de vulnerabilidades reportó la falla a Facebook a través
del programa de recompensas de la red social, que reconoció el reporte e
implementó una corrección a la brevedad. Acorde al Instituto Internacional de
Seguridad Cibernética (IICS), Baikar habría recibido una recompensa de hasta 50
mil dólares, la más alta que Facebook ha otorgado a un reporte de vulnerabilidad
del lado del cliente.  

(Hackear Cualquier Cuenta de Facebook; Vulnerabilidad Día Cero Encontrada,

n.d.)

Decepción de intrusos
Tu cuenta debería representarte y solo tú deberías tener acceso a ella. Te
ofrecemos ayuda en caso de que alguien obtenga acceso a tu cuenta o cree una
para hacerse pasar por ti o por otra persona. También te animamos a que nos
informes sobre cuentas de personas, mascotas, famosos u organizaciones falsos
o ficticios.
¿Cómo denuncio una cuenta por suplantación de identidad?
Si tienes una cuenta de Facebook y quieres denunciar a alguien que se está
haciendo pasar por una persona que conoces:
Ve al perfil de la cuenta que suplanta tu identidad.
Si no lo encuentras, prueba a buscar el nombre utilizado en el perfil o pregunta a
tus amigos si pueden enviarte un enlace al perfil.

Haz clic en   en la foto de portada y selecciona Denunciar.

Sigue las instrucciones que aparecen en pantalla sobre suplantación de identidad
para enviar una denuncia.
Si tienes una cuenta de Facebook y quieres denunciar a alguien que se está
haciendo pasar por una persona que conoces, rellena este formulario.
Si crees que te han hackeado la cuenta, obtén información sobre cómo proteger tu
cuenta.
(Servicio de Ayuda de Facebook, n.d.)

Conclusiones y resultados
Encontrar vulnerabilidades en un sistema informático es de suma importancia
dada las consecuencias legales y económicas que pueden sufrir las empresas
informáticas, es por esto que se pagan grandes cantidades de dinero a quienes
las encuentren, a pesar de no existir un sistema perfecto lo que se busca es
reforzar la seguridad lo mejor posible.

Bibliografía
Hackear cualquier cuenta de Facebook; vulnerabilidad día cero encontrada. (n.d.).
Retrieved July 29, 2020, from
https://noticiasseguridad.com/vulnerabilidades/hackear-cualquier-cuenta-de-
facebook-vulnerabilidad-dia-cero-encontrada/
Servicio de ayuda de Facebook. (n.d.). Retrieved July 29, 2020, from
https://www.facebook.com/help/1216349518398524?helpref=hc_global_nav