Otra grave vulnerabilidad de seguridad en facebook es descubierta

Aquí vemos a Minipunk en un programa televisivo explicando la falla

Esta vez por un internauta español. Sería un fallo en la seguridad de la red social más grande del mundo relacionado a una de sus nuevas herramientas -provee a sus usuarios un correo electronico con dominio facebook-. Reproducimos graficamente como llegó este internauta a la falla que viene a sumar otro agujero en su historial.

Básicamente esta vulnerabilidad consiste en lo siguiente:

Puedo enviar un mensaje privado a un usuario de facebook suplantando la identidad de otro. La verdad es que es realmente sencillo, creo un simple formulario web con los campos (remitente, destinatario y mensaje).

Como facebook activó la cuenta de usuarios para recibir correos electrónicos usuario@facebook.com es el que uso como destinatario.

El correo electrónico (casi siempre visible en los perfiles) es el que utilizo como remitente.

Y ese es el resultado:

Expongo a continuación los pasos que he seguido para conseguirlo:

Busco en el apartado de información un correo electrónico vinculado a facebook.

Obtengo en nombre de usuario del que recibirá el mensaje (pongo mi propio ejemplo, pero he probado a enviarlo a amigos y el resultado es idéntico).

Relleno el formulario con usuario de facebook y correo del remitente.

Pasados unos minutos facebook me avisa que tengo un mensaje nuevo.

Abro el mensaje y vemos que Carlos Barrabes me ha enviado un mensaje.

También el famoso twittboy

Si nos fijamos arriba a la derecha hay un pequeño triangulito que nos advierte "no se puede confirmar que este mensaje sea de..." pero no avisa en todos.

Por otro lado, esa inapreciable advertencia no la vemos en los smartphones.

Creo que es una vulnerabilidad importante ya que (pese a ser delito) lo sencillo que es crear un formulario o falsificar el remitente de correo y lo que se puede llegar a hacer con esto es inimaginable.

Actualización:

En ocasiones en la web nos muestra una pequeña alerta de que no se puede comprobar el remitente (cosa que no sucede en smartphones o tablets) y me he dado cuenta de que si el remitente tiene una cuante de correo del tipo Gmail, Hotmail o similares aparece esa alerta; en cambio, si el remitente es de un dominio propio el engaño es 100% efectivo, no muestra alerta en ningún lado.

Blog de Minipunk http://el-internauta-de-leon.blogspot.com/