Mas o gigante das redes sociais pretende, de facto, reportar um problema de fuga de dados.

Felizmente, a quantidade de dados divulgados devido a um bug no Facebook foi aparentemente modesta, pelo menos segundo os padrões deste serviço com biliões de utilizadores.

Mas a maior desilusão deve-se ao facto de terem sido os próprios sistemas do Facebook que possibilitaram esta falha.

O que aconteceu?

Obviamente, o Facebook não fornece detalhes sobre o bug e de que modo foi explorado, o que dificulta a percepção da dimensão e gravidade do incidente.

A notificação diz o seguinte:

Recebemos recentemente um relatório dirigido ao nosso programa White Hat relativamente a um bug que pode ter possibilitado o acesso à informação de contactos de utilizadores (e-mail ou número de telefone) por terceiros que já tivessem alguma informação sobre os respectivos contactos ou alguma ligação aos mesmos.

Tentemos então perceber as implicações deste caso.

Partilhando listas de contactos

Imagine por exemplo que Carlos Silva, um entre (provavelmente) centenas de utilizadores com o mesmo nome, está presente no Facebook e optou por introduzir o seu endereço de e-mail, Este endereço de email está protegido contra piratas. Necessita ativar o JavaScript para o visualizar., mas não muito mais. Não partilhou o local onde vive, nem onde trabalha nem o número de telefone.

A Alice decide juntar-se ao Facebook e associa a sua lista de contactos (o Facebook pressiona os utilizadores para incluírem o máximo possível sobre os respectivos amigos virtuais, por motivos que se tornam óbvios posteriormente).

Ela conhece um Carlos Silva, que tem o número de telefone 21 123 45 67, e o endereço de e-mail Este endereço de email está protegido contra piratas. Necessita ativar o JavaScript para o visualizar.. O Facebook consegue então cruzar o endereço de e-mail e sugere a Alice que se junte ao Carlos. De todos os Carlos Silva presentes no Facebook, este será efectivamente aquele que ela conhece. Ela envia um pedido de amizade e ele aceita.

Até agora, tudo normal.

Uns dias depois, o Rúben junta-se ao Facebook. A sua lista de contactos é fornecida ao Facebook, que identifica o endereço Este endereço de email está protegido contra piratas. Necessita ativar o JavaScript para o visualizar. associado ao contacto com o nome Carlos Silva, actualmente a viver algures em Loures, e que trabalha na empresa Onecompany, Lda.

Uma vez mais, o Facebook associa o Rúben ao Carlos, e indirectamente à Alice. Os três tornan-se amigos no Facebook.

A Alice está satisfeita, o Rúben também e, já que aceitou os pedidos de amizade, à partida o Carlos também.

Tão simples como A-B-C.

Explorando os dados de contactos

Obviamente, o Facebook é o elemento mais satisfeito por ter obtido uma série de informação pessoal sobre o Carlos não revelada pelo próprio intencionalmente.

Claro que, quanto mais pessoas partilharem informação sobre os seus contactos e implícitamente confirmarem a identidade deles através dos pedidos de amizade no Facebook, mais detalhes o serviço tem para criar uma imagem mais completa de cada utilizador.

Bem-vindos ao maravilhoso mundo do data mining.

Pode não gostar muito deste tipo de coisas, mas não há muito que possa fazer quanto a isso. Mesmo permanecendo afastado de sites como o Facebook ou encerrando quaisquer contas que possa ter numa destas redes, isso pode não o ajudar muito.

Afinal, no nosso hipotético exemplo acima, Carlos Silva apenas forneceu o seu nome e endereço de e-mail. O seu local de residência, o emprego e o número de telefone foram fornecidos por outros utilizadores, presumívelmente sem o seu consentimento.

A Alice e o Rúben podem não ter pensado nas consequências de fornecerem ao Facebook as suas listas de contactos, mas completarem as suas bases de dados com todos os detalhes que tinham foi uma decisão sua, assim como deixar o Facebook aceder a esses dados.

Fuga de dados

O que o Facebook parece admitir na notificação sobre a fuga de dados da passada 6ª feira, é que foi descuidado com os dados agregados dos uploads de listas de contactos.

O problema, referem, reside na funcionalidade "Transferir as tuas informações", que existe para que os utilizadores possam recuperar toda a informação que confiaram à rede social previamente.

Ironicamente, esta funcionalidade é um importante componente de segurança do Facebook, por ajudar a lidar com sérias preocupações acerca dos serviços baseados na cloud:

• Melhora a disponibilidade porque permite-lhe criar o seu próprio backup de tudo o que introduziu no Facebook.
• Melhora a transparência porque actua como registo de tudo o que transferiu para o Facebook ao longo de anos.
  
  

Mas existe um bug na funcionalidade que permite a fuga de dados/revelação não autorizada.

Aparentemente, a funcionalidade permitiu aos utilizadores transferirem mais informação do que aquela que introduziram no Facebook.

Voltando ao exemplo acima, quando o Rúben utilizou esta funcionalidade, acabou por receber os dados de contacto da Alice sobre o Carlos, para além daqueles que ele próprio já tinha.

Por outras palavras, o Rúben não recuperou apenas o local de residência e trabalho do Carlos, que tinha fornecido nos seus contactos, como também obteve o número de telefone do Carlos por cortesia da Alice.

Isto não é, certamente, nada agradável.

É especialmente mau para o Carlos, que passou a ter o seu número de telefone disponível para todos os que se tornaram seus amigos no Facebook, apesar de ter concretamente decidido não o fornecer a ninguém naquela rede.

O que fazer?

O Facebook deciciu publicar a sua notificação sobre a falha de segurança durante a tarde de 6ª feira, o que desde logo gera suspeitas. As sextas à noite são tradicionalmente eleitas para "despachar" o tipo de notificações que são realizadas por obrigação ou necessidade, e não propriamente por opção.

É fácil de entender porque o Facebook pode ter preferido que esta se tornasse uma "história de fim-de-semana": porque este caso pode levar algumas empresas a repensarem as suas estratégias sobre utilização do Facebook no trabalho, e regressarem aos tempos antigos em que o Facebook era pura e simplesmente bloqueado.

E isso garantidamente provocaria um grande impacto no tráfego do Facebook durante o horário laboral.

Se alguém partilhar toda a sua lista de contactos a partir do trabalho, com um bug como este poderão acabar por partilhar muito mais, sobre muito mais pessoas, do que realmente pretendiam.

E o Facebook apenas admite que, algures no seu sistema, um bug impediu-os de tomarem os cuidados apropriados com estes dados.

O resultado

O Facebook desactivou a funcionalidade "Transferir as tuas informações" assim que o bug foi identificado, solucionou-o, voltou a activar a funcionalidade, e só depois publicou a notificação sobre a fuga de dados.

Mesmo que se tome um ponto de vista cínico sobre o timing e o título da notificação, existem alguns pontos positivos a retirar de toda esta situação:

• Respeito por quem identificou este bug e o revelou de forma responsável ao Facebook para que pudesse ser resolvido, apesar de ter podido receber muito mais atenção se tivesse decidido revelá-lo publicamente.
• Agradecimentos ao Facebook por ter um programa de pesquisa de bugs que possibilitou uma recompensa a quem identificou este caso e agiu da forma mais correcta.
• Parabéns ao Facebook por ter tomado em consideração o relatório sobre o bug e resolvido o problema.
• Parabéns às jurisdições que aprovaram fortes leis relativamente à notificação sobre fugas de dados, para que este tipo de problemas não possam simplesmente ser ocultados do público.
• Bom trabalho àqueles que decidem não partilhar a lista de contactos com sites de redes sociais, seguindo o princípio de "aquilo que não partilhar, não será perdido por sua causa".
  
  

Mantenha-se a par de outros artigos sobre segurança da Sophos seguindo-os no Facebook, Twitter e LinkedIn.