Hacker encuentra error para entrar en Facebook 2FK en su nuevo sistema centralizado que Meta creó.
Hacker encuentra error para entrar en Facebook desde centro de cuentas que Meta creó para que los usuarios usaran sus inicios de sesión en Facebook e Instagram.
Podría haber permitido que los piratas informáticos maliciosos desactivaran las protecciones de dos factores de una cuenta con sólo conocer su número de teléfono.
Gtm Mänôz, un investigador de seguridad de Nepal, se dio cuenta de que Meta no establecía un límite de intentos cuando un usuario ingresaba el código de dos factores.
Centro de cuentas Meta para vincular Facebook e Instagram
El Centro de cuentas Meta es utilizado para iniciar sesión en tus cuentas, que te ayuda a vincular todas tus cuentas Meta, como Facebook e Instagram.
Con el número de teléfono de una víctima, un atacante iría al centro de cuentas centralizadas e ingresaría el número de teléfono tuyo.
Después vincularía ese número a su propia cuenta de Facebook y luego forzaría el código SMS de dos factores.
Este fue el paso clave, porque no había límite para la cantidad de intentos que alguien podía hacer.
Una vez que el atacante obtuvo el código correcto, tu número de teléfono podía vincular a la cuenta de Facebook del atacante.
Un ataque exitoso aún daría como resultado que Meta te enviase un mensaje, diciendo que tu factor doble se deshabilitó porque tu número de teléfono se vinculó a la cuenta de otra persona.
El mayor impacto aquí fue revocar el #2FA basado en #SMS de cualquier persona sabiendo el número de #teléfono. Clic para tuitearAcceder a tu Facebook mediante el phishing
Dado que el objetivo ya no tenía habilitado el doble factor de seguridad, en teoría, un atacante podría intentar apoderarse de la cuenta de Facebook tuya mediante el phishing para obtener la contraseña.
Mänôz encontró el error en el Meta Accounts Center el año pasado y lo informó a la empresa a mediados de septiembre.
Meta arregló el error unos días después y le pagó a Mänôz 27.200 dólares por informar el error.
La portavoz de Meta, Gabby Curtis, dijo que la investigación de Meta después de que se informó el error encontró que no había evidencia de intrusión.
Meta no vio un aumento en el uso de esa función en particular, lo que indicaría el hecho de que nadie estaba abusando de ella.
