Una vulnerabilidad descubierta recientemente por el investigador Dan Melamed y publicada en su blog, le permitía a un usuario malicioso tomar control de cualquier cuenta de Facebook. La falla solo requería que la víctima visitara un sitio en el que se ejecutaba un código ofrecido por la misma red social, que pasaría desapercibido por cualquier programa de seguridad y que, de hecho, es inocuo por sí mismo.

En concreto, la falla le permitía al atacante asociar una dirección de correo electrónico a la cuenta de Facebook de la víctima, con lo que le era posible reiniciar la contraseña del perfil atacado y tomar control sobre él. Para que el ataque funcionara, el correo ya debía pertenecer a otro usuario de Facebook y estar registrado en la base de datos de la red social. El código se obtenía cuando el atacante registraba ese correo como propio.

Para caer en la trampa, la víctima debía ejecutar el código malicioso mientras estuviera conectada a Facebook. El atacante podía insertarlo en un sitio web y asegurarse de que la persona atacada lo visitara, o simplemente podía enviarle un link. Cuando eso ocurría, el e-mail del atacante inmediatamente quedaba registrado en el Facebook de la víctima. En este video se puede ver el ‘exploit’ en acción (recomendamos verlo en pantalla completa y HD).

Melamed dice que la falla de seguridad ya fue solucionada. Sin embargo, asegura que ha descubierto otras vulnerabilidades de la red social, y afirma que las publicará en la medida en la que los expertos de seguridad del servicio las reparen.