Entenda quais são os problemas de segurança do Facebook

O Face­book anun­ciou nes­ta sex­ta-feira (28) que inva­sores roubaram tokens de aces­so na rede social e que a vul­ner­a­bil­i­dade afe­tou 50 mil­hões de con­tas. A rede tem mais de 2,2 bil­hões de usuários men­sais ativos no mun­do, sendo 127 mil­hões no Brasil.

Como medi­da de segu­rança, a empre­sa desl­o­gou a con­ta de 90 mil­hões de usuários, o que sig­nifi­ca que quem entra­va na rede social de modo automáti­co, sem incluir a sen­ha, foi desconec­ta­do e pre­cisou incluir a sen­ha nova­mente.

Até ago­ra, a empre­sa não reg­istrou o vaza­men­to de infor­mações pes­soais na inter­net, mas espe­cial­is­tas em segu­rança da infor­mação aler­tam que o roubo de tokens é perigoso, pois dá aces­so à con­ta dos usuários e todo o seu con­t­role, de men­sagens pri­vadas a fotos que estão públi­cas ou em álbuns fecha­dos.

“Hoje você faz o login e não colo­ca mais a sen­ha durante um mês, por exem­p­lo. É assim no Google, no Face­book. No momen­to que você aces­sa, eles usam um algo­rit­mo crip­tográ­fi­co que te recon­hece. A pes­soa fica lig­a­da a um códi­go, uma sequên­cia de car­ac­teres con­heci­da como token, que a autor­iza”, expli­ca Igor Rin­con, espe­cial­ista em segu­rança de infor­mação.

Com o token, o Face­book entende que o aces­so à rede social por deter­mi­na­do celu­lar ou máquina é aut­en­ti­ca­do e per­mite o aces­so da pes­soa sem que ela pre­cise dig­i­tar a sen­ha.

No fim da tarde des­ta sex­ta-feira (28), em uma con­fer­ên­cia por tele­fone com repórteres, Guy Rosen, vice-pres­i­dente de Pro­du­to da com­pan­hia, afir­mou que os inva­sores podem ter aces­sa­do con­tas de out­ros aplica­tivos e sites que uti­lizam o Face­book Login, uma função que per­mite o cadas­tro pela rede social.

Segun­do Rosen, os hack­ers não têm as sen­has de usuários do Face­book, pois aces­saram as con­tas via token. O prob­le­ma é que eles podem ter usa­do o mes­mo token para aces­sar out­ras con­tas, depen­den­do de como os aplica­tivos e sites rel­e­vantes lidam com os tokens da rede social.

“Ago­ra que os login foram rese­ta­dos, as con­tas estão seguras”, afir­mou Rosen.

• Como saber se tive a con­ta inva­di­da?

A empre­sa não anun­ciou quais país­es foram afe­ta­dos, ape­nas que desl­o­gou a con­ta de 90 mil­hões de pes­soas. Se você não cos­tu­ma­va colo­car a sen­ha e pre­cisou faz­er isso, há duas pos­si­bil­i­dades: ou sua con­ta está entre as vul­neráveis ou, no últi­mo ano, você aces­sou a função “ver como”, no qual usuários con­seguem ver como out­ras pes­soas enx­ergam seu per­fil na rede social.

Ver­i­fique nas con­fig­u­rações de sua con­ta os dis­pos­i­tivos que estão conec­ta­dos a ela e os respec­tivos locais de origem. Se apare­cer algu­ma cidade que você não esteve, é prováv­el que seu per­fil ten­ha sido inva­di­do.

• Qual a con­se­quên­cia de uma invasão ao meu per­fil?

Inva­sores podem ler men­sagens pri­vadas, olhar fotos pri­vadas, faz­er o down­load delas, bem como alter­ar infor­mações pes­soais e se faz­er pas­sar por você. Isso pode ter inúmeras impli­cações rela­cionadas à fal­si­dade ide­ológ­i­ca.

• Como me pro­te­ger nas redes soci­ais?

1. Altere sua sen­ha e não use a mes­ma em difer­entes redes soci­ais, como LinkedIn e Twit­ter. Evite sequên­cias numéri­c­as, como número de tele­fone, data de nasci­men­to e pla­ca do car­ro, e palavras con­heci­das de qual­quer idioma.

   “Uma dica que cos­tu­mo dar é: sele­cione a primeira letra de cada palavra da sua músi­ca preferi­da, para você ter uma refer­ên­cia, e inclua números e car­ac­teres espe­ci­ais no meio”, diz Fer­nan­do Amat­te, dire­tor de ciber­in­teligên­cia da Cipher.

2. Habilite a ver­i­fi­cação em dois fatores. Vá até as con­fig­u­rações de segu­rança e ative o dup­lo fator de aut­en­ti­cação. Faça isso em todas as redes soci­ais. Dessa for­ma, você só entra na rede por um dis­pos­i­ti­vo se con­fir­mar sua iden­ti­dade em out­ro meio, seja por um token de seis dígi­tos em aplica­tivos de celu­lar ou por SMS.
3. Seja um usuário vig­i­lante. Ative noti­fi­cações de redes soci­ais no seu email para saber quan­do algo acon­tece na sua con­ta. Fique aten­to a qual­quer men­sagem ou noti­fi­cação estran­ha.
4. A dica é anti­ga, mas ten­ha antivírus atu­al­iza­do no com­puta­dor e, se pos­sív­el, obten­ha um para dis­pos­i­tivos móveis. Se, por­ven­tu­ra, a par­tir das infor­mações aces­sadas no Face­book, o inva­sor ten­tar insta­lar algum pro­gra­ma na sua máquina, o antivírus detec­ta a movi­men­tação.

• O que diz o Face­book?

A empre­sa afir­ma que as inves­ti­gações estão em está­gio ini­cial. Infor­ma que o ataque explor­ou uma “inter­ação com­plexa envol­ven­do uma série de ocor­rên­cias em nos­sos códi­gos” e que nasceu de uma mudança de códi­go fei­ta na fer­ra­men­ta de upload de vídeo em jul­ho de 2017, que impactou a fun­cional­i­dade “Ver Como”.

“Os inva­sores não pre­cis­aram ape­nas encon­trar essa vul­ner­a­bil­i­dade e usá-la para gan­har aces­so a um token, mas tam­bém tiver­am que ir des­ta con­ta a out­ras para roubar mais tokens.”

Segun­do o Face­book, ain­da é pre­ciso con­fir­mar se as con­tas foram mal uti­lizadas ou se algu­ma infor­mação foi aces­sa­da. É pre­ciso ressaltar que essa vul­ner­a­bil­i­dade de segu­rança não tem relação com o caso da Cam­bridge Ana­lyt­i­ca, que colo­cou a empre­sa em uma de suas piores crises de imagem este ano.

*Poderosa fibra emagrecedora garante queima de gordura em tempo recorde