Detectan falla en sistema de autenticación en dos pasos de Facebook

El sistema de autenticación en dos pasos de Facebook (2FA), que sirve para brindar mayor seguridad a sus usuarios, está bajo la lupa por algunas fallas que han pasado desapercibidas por algún tiempo. La compañía tecnológica estaría utilizando el número de celular registrado en el 2FA para otras acciones que no tienen que ver con su objetivo.

El sistema de autenticación se basa en la necesidad de utilizar un dispositivo adicional para confirmar el acceso a nuestra cuenta o servicio. En el caso de Facebook este lleva el nombre de 2FA.

La combinación más habitual es el envío de un mensaje SMS en nuestro smartphone con un código de seguridad que tendremos que introducir para acceder además de meter la contraseña. De esta forma, alguien que descubra nuestro password no podrá acceder a nuestra cuenta, ya que necesitaría de disponer también de nuestro teléfono para conseguirlo.

Sin embargo, según informan en 'The Verge', el ingeniero de software Grabriel Lewis notó hace unos días que Facebook estaba usando el mismo número de celular que ingresó para su 2FA, para notificarle sobre publicaciones de sus amigos, cuando se supone que el número solo debería ser usado por la compañía para tener un ingreso seguro a la cuenta de la red social.

Además, cuando Lewis respondió a esos mensajes de texto con cualquier frase, como "por favor paren", descubrió que los mismos se publicaban en su muro de Facebook.

Cientos de usuarios en Twitter dicen que les pasa lo mismo con el número de celular que registraron para el sistema de autenticación de Facebook e Instagram. Lo peor es que Lewis afirma nunca haber habilitado las notificaciones vía mensajes de texto.

“Esto es horrible. Le das a Facebook tu número para autenticación de ingreso; en cambio, abusa de él con spam de SMS para disparar ‘interacción’, y cuando respondes al spam, lo publica en tu muro”, dijo el experto informático.

Hasta el momento no es claro si el reciente comportamiento del 2FA es un ‘bug’ o una falla. Sin embargo, esta situación podría tener implicaciones legales. Por ejemplo, en Estados Unidos existe un acta de protección al consumidor llamada ‘Telephone Consumer Protection Act’. Esta dice que ninguna compañía puede contactar a las personas a través de mensajes de texto sin tener un permiso expreso del usuario.