Milhões de telefones de usuários do Facebook aparecem em uma base de dados aberta na Internet

O Facebook confirmou que 419 milhões de números de telefone de seus usuários foram encontrados em uma base de dados sem senha na Internet. O documento incluía apenas dois dados: o número público do identificador pessoal do Facebook, que é simples de vincular ao nome do usuário, e o número de telefone.

O site Techcrunch publicou a descoberta graças a uma informação de Sanyam Jain, pesquisador da Fundação GDI. Jain não encontrou o dono da base de dados que estava sem proteção de senha e entrou em contato com o Techcrunch para evitar que os dados continuassem disponíveis. Quando o Techcrunch procurou o host da base de dados, ela foi tirada do ar.

Mais informações

EUA multam Facebook em 5 bilhões de dólares por violar privacidade dos usuários

A máquina que vence mestres do pôquer e na qual o Pentágono e o Facebook apostam

WhatsApp impedirá que menores de 16 anos usem o serviço na Europa

Segundo a Fundação GDI, os norte-americanos foram os mais afetados, com 131 milhões de números vazados, seguidos por 50 milhões de vietnamitas e 18 milhões de britânicos. Questionados pelo EL PAÍS, nem o GDI nem o Facebook souberam dar detalhes sobre quantos números latino-americanos havia nessa lista. “É impossível comprovar todos os dados, então nossos investigadores escolhem uma seleção ao acaso e consultam perfis destacados, o que nos ajuda a priorizar a gravidade do vazamento”, diz um porta-voz da GDI.

O Facebook admitiu que esses dados procedem de seu aplicativo: “Esta base de dados é antiga e parece ter informações obtidas antes das mudanças que fizemos ano passado para retirar a opção de que as pessoas encontrassem os outros através de seus números de telefone. A base de dados foi retirada e não temos nenhuma evidência de que tenha sido comprometida nenhuma conta do Facebook”. A companhia também defende que muitos desses números na base de dados estavam duplicados.

Quando o Facebook diz “antiga” se refere a antes de abril de 2018. O Facebook permitia então que um usuário encontrasse outro apenas mediante seu número de telefone. “Agentes maliciosos abusaram dessas funções para scrapear [raspar] informação do perfil público introduzindo números de telefone ou e-mails que já possuíam”, dizia o Facebook em uma postagem de 2018 na qual anunciava essa mudança.

O Facebook permitia de um modo simples vincular números de telefone com seus proprietários. “Pela escala e a sofisticação da atividade que vimos, acreditamos que a maioria das pessoas no Facebook pode ter tido seu perfil público scrapeado deste modo”, escrevia a rede no seu post.

O Facebook emprega o termo técnico scrapear, que significa recolher dados brutos disponíveis em um site público, mas que não estão reunidos em uma base de dados. Não é algo ilegal, mas algo que o site proprietário dos dados não costuma dar acesso com facilidade. Fontes da companhia dizem que ainda existem esforços para evitar que os dados sejam scrapeados.

Uma vez mais

A aparição desta base de dados flutuando na Internet é um novo aviso dos “descuidos” de segurança do Facebook que foram emergindo da Cambridge Analytica, que não deixou ser um vazamento maciço de informação vinculada a 80 milhões de usuários. A pouca vigilância ou esmero do Facebook pela privacidade dos seus usuários nos últimos anos vem agora a prejudicar esses usuários.

O problema dos vazamentos não é só comprometer uma conta do Facebook, como diz a companhia em seu comunicado. A revelação de informações pessoais de usuários permite ataques refinados como a cópia do chip do telefone (ou SIM swapping) ou outros golpes de engenharia social. Mediante a cópia do chip, um golpista pode reunir, a partir de diferentes fontes, o nome, endereço e número de telefone de um usuário para convencer uma operadora de celular a transferir o número de um chip para outro, permitindo assim o controle de um dispositivo.

Há poucos dias, o fundador do Twitter, Jack Dorsey, foi vítima de um desses golpes. Eles conseguiram tuitar mensagens racistas e ofensivas através do celular da conta @jack.