Milhões de telefones de usuários do Facebook aparecem em uma base de dados aberta na Internet

Rede social admite que informações podem ter sido extraídas do seu app antes de abril de 2018.

O Facebook confirmou que 419 milhões de números de telefone de seus usuários foram encontrados em uma base de dados sem senha na Internet. O documento incluía apenas dois dados: o número público do identificador pessoal do Facebook, que é simples de vincular ao nome do usuário, e o número de telefone.

O site Techcrunch publicou a descoberta graças a uma informação de Sanyam Jain, pesquisador da Fundação GDI. Jain não encontrou o dono da base de dados que estava sem proteção de senha e entrou em contato com o Techcrunch para evitar que os dados continuassem disponíveis. Quando o Techcrunch procurou o host da base de dados, ela foi tirada do ar.

Segundo a Fundação GDI, os norte-americanos foram os mais afetados, com 131 milhões de números vazados, seguidos por 50 milhões de vietnamitas e 18 milhões de britânicos. Questionados pelo EL PAÍS, nem o GDI nem o Facebook souberam dar detalhes sobre quantos números latino-americanos havia nessa lista. “É impossível comprovar todos os dados, então nossos investigadores escolhem uma seleção ao acaso e consultam perfis destacados, o que nos ajuda a priorizar a gravidade do vazamento”, diz um porta-voz da GDI.

O Facebook admitiu que esses dados procedem de seu aplicativo: “Esta base de dados é antiga e parece ter informações obtidas antes das mudanças que fizemos ano passado para retirar a opção de que as pessoas encontrassem os outros através de seus números de telefone. A base de dados foi retirada e não temos nenhuma evidência de que tenha sido comprometida nenhuma conta do Facebook”. A companhia também defende que muitos desses números na base de dados estavam duplicados.

Quando o Facebook diz “antiga” se refere a antes de abril de 2018. O Facebook permitia então que um usuário encontrasse outro apenas mediante seu número de telefone. “Agentes maliciosos abusaram dessas funções para scrapear [raspar] informação do perfil público introduzindo números de telefone ou e-mails que já possuíam”, dizia o Facebook em uma postagem de 2018 na qual anunciava essa mudança.

O Facebook permitia de um modo simples vincular números de telefone com seus proprietários. “Pela escala e a sofisticação da atividade que vimos, acreditamos que a maioria das pessoas no Facebook pode ter tido seu perfil público scrapeado deste modo”, escrevia a rede no seu post.

O Facebook emprega o termo técnico scrapear, que significa recolher dados brutos disponíveis em um site público, mas que não estão reunidos em uma base de dados. Não é algo ilegal, mas algo que o site proprietário dos dados não costuma dar acesso com facilidade. Fontes da companhia dizem que ainda existem esforços para evitar que os dados sejam scrapeados.

Uma vez mais

A aparição desta base de dados flutuando na Internet é um novo aviso dos “descuidos” de segurança do Facebook que foram emergindo da Cambridge Analytica, que não deixou ser um vazamento maciço de informação vinculada a 80 milhões de usuários. A pouca vigilância ou esmero do Facebook pela privacidade dos seus usuários nos últimos anos vem agora a prejudicar esses usuários.

O problema dos vazamentos não é só comprometer uma conta do Facebook, como diz a companhia em seu comunicado. A revelação de informações pessoais de usuários permite ataques refinados como a cópia do chip do telefone (ou SIM swapping) ou outros golpes de engenharia social. Mediante a cópia do chip, um golpista pode reunir, a partir de diferentes fontes, o nome, endereço e número de telefone de um usuário para convencer uma operadora de celular a transferir o número de um chip para outro, permitindo assim o controle de um dispositivo.

Há poucos dias, o fundador do Twitter, Jack Dorsey, foi vítima de um desses golpes. Eles conseguiram tuitar mensagens racistas e ofensivas através do celular da conta @jack.