El equipo de investigación de Check Point descubrió vulnerabilidades en una función estándar del chat en línea de Facebook y su aplicación Messenger.

Las vulnerabilidades, si son explotadas, permitirían que alguien tome el control de cualquier mensaje enviado por el chat o el Messenger, modificar su contenido, distribuir malware e incluso insertar técnicas de automatización para burlar las defensas de seguridad.

Para aprovechar esta vulnerabilidad, un atacante simplemente necesita identificar el ID único para el mensaje enviado. Este proceso sólo requiere conocimientos de HTML muy básicos y una herramienta de depuración del navegador, libre en cualquier navegador. Una vez que se identifica el ID del mensaje, el atacante es capaz de alterar el contenido de los mensajes y enviarlo a los servidores de Facebook sin que el usuario original sea alertado.

La alteración del contenido de los mensajes enviados tiene posibilidades atractivas para los atacantes. Pueden insertar malware como ransomware en una cadena de mensaje de Facebook previamente benigna o pueden manipular el contenido del mensaje y el historial con fines fraudulentos, por ejemplo, para falsificar detalles de un acuerdo o transacción.

"Mediante la explotación de esta vulnerabilidad los ciberdelincuentes podrían cambiar todo un conjunto de chat sin que la víctima se dé cuenta", dijo Oded Vanunu Head of Products Vulnerability Research de Check Point. "Lo que es peor, el hacker podría poner en práctica las técnicas de automatización para burlar las medidas de seguridad lo que les permitiría lanzar a largo plazo los ataques insidiosos. Aplaudimos a Facebook su rápida respuesta y por trabajar con nosotros para poner la seguridad en primer lugar por sus usuarios. "

En el primer trimestre de 2016, Facebook anunció que había llegado a 1,65 mil millones de usuarios activos mensuales, mientras que en la aplicación Messenger solo 800 millones de usuarios mensuales a principios de este año, por lo que es objetivo potencial para los cibercriminales.

La vulnerabilidad fue dada a conocer plenamente al equipo de seguridad de Facebook a principios de este mes. Facebook respondió inmediatamente y después de un esfuerzo conjunto fue parcheada la vulnerabilidad. Par los usuarios de Facebook no es necesario realizar ningún cambio a sus cuentas.