¿Cómo pudo realizarse el hackeo a Facebook o LinkedIn?

El pasado fin de semana se hizo pública la noticia de la filtración de datos de más de 500 millones de usuarios de la red social Facebook que fueron expuestos en un foro de hacking. Datos personales como nombres completos, informaciones biográficas, fechas de nacimiento, números de teléfono, correos electrónicos, o ubicaciones, entre otros.

Por si esto fuera poco, hace unos días veía la luz otro hackeo, y otros ciberdelincuentes aparecieron en un foro conocido del mundillo underground con una extracción de datos de otra de las grandes redes sociales de ámbito profesional, LinkedIn.

Datos de 500 millones de sus usuarios recopilados y que se pusieron a la venta en internet con información principalmente profesional de los perfiles de LinkedIn. La prueba que muestran los ciberdelincuentes contiene datos como el ID de LinkedIn / Nombres completos / Correos electrónicos / Números de teléfono / Géneros / Enlaces a perfiles de LinkedIn / Enlaces a otros perfiles de redes sociales / Títulos profesionales y otros datos relacionados con el trabajo.

¿Cómo han podido ocurrir los ciberataques?

Según explica Nacho García Egea, recientemente nombrado director técnico en España de la compañía especializada en Ciberseguridad A3Sec, “esta información pudo extraerse de la plataforma con técnicas de scraping directamente o alguna vulnerabilidad no reportada”.

Desde LinkedIn ayer mismo valoraron la situación: “Todavía estamos investigando este asunto, los datos publicados parecen incluir información públicamente visible que se extrajo de LinkedIn, en combinación con datos agregados de otros sitios web o empresas”, explican desde la plataforma. “Extraer los datos de nuestros miembros viola nuestros términos de servicio. En LinkedIn trabajamos constantemente para proteger a nuestros miembros y sus datos” aseguran.

En opinión de Nacho García, en este sentido, “los objetivos de los compradores de este tipo de base de datos pueden ser varios: desde ataques de phishing dirigidos, Spam de emails y números de teléfono, hasta bloqueo de los perfiles de LinkedIn y las direcciones de correo electrónico o suplantaciones de identidad”.

Alejandro de la Peña, director general en España de A3Sec, explica por su parte al respecto de estas filtraciones que: “la publicación descontrolada de estos datos tienen un posible uso delictivo para realizar ataques de ingeniería social específicamente el de suplantación de identidad, con lo que conlleva un grave problema para los usuarios de los que se han filtrado sus datos”.

Recomendaciones

Como recomendación, Nacho García explica al respecto que ”es importante estar informado a nivel usuario de noticias de ciberseguridad de este tipo y validar si hemos tenido accesos indebidos a nuestros perfiles sociales. Además, en los servicios que nos lo permitan, activar doble factor de autenticación y tener una política de contraseñas correcta”.