Facebook cada vez está más sumida en más crisis de datos. Pero a los usuarios cada vez parece importarles menos, pues los ingresos de la red social y su valor en bolsa no ha parado de subir (de hecho, Zuckerberg ya es el tercer hombre más rico del mundo). Ahora, se ha descubierto que una simple extensión de Google Chrome permitió acceder a datos sensibles de usuarios de grupos privados de FB, algo terriblemente abrumador.

Si un grupo de Facebook está en privado, es precisamente porque confían en la seguridad que tiene Facebook para que todo lo que se pase por ahí se quede ahí; por lo tanto, la gente puede enviar datos sensibles sin ningún problema, o al menos antes se podía confiar. Pero resulta que alguien no solo creó, sino que además distribuyó en la tienda de extensiones de Google Chrome un app con la que podía acceder a todo tipo de datos sensibles dentro de grupos privados de Facebook.

Entre estos datos, denuncia la administradora de un importante grupo privado de Facebook compuesto por 9000 mujeres con modificaciones en el gen BRCA (y por lo tanto con riesgo de padecer cáncer de mama y/o ovario), la extensión pudo sacar datos tan sensibles como nombres de los integrantes, sus empleos, correos electrónicos, ubicaciones o el lugar donde trabajaban.

Acceder a los datos de los participantes de un grupo fue posible, y fácil

El problema va más allá de la una simple exposición de datos, incluso. Imagina que es una aseguradora de salud quien accede estos datos en busca de crear una base de datos de personas propicias a tener este tipo de cáncer para encarecer los servicios a las mismas (recordemos que la sanidad en EEUU, donde se han desarrollado los hechos, la sanidad es privada; aunque podría haber ocurrido en cualquier país). O lo mismo con cualquier otra situación similar.

La extensión, llamada ‘Grouply.io‘, permitía descargarse todo estos datos con un solo clic, tal y como ha afirmado la administradora del grupo del que hablamos. Además, un investigador de seguridad con el que se puso en contacto el administrador del grupo, afirmó haber logrado obtener datos de manera manual, sin la extensión, por lo que se trataba de un gran fallo de seguridad sencillamente replicable.

La explicación de Facebook es que los grupos que antes eran públicos, pero que ahora eran privados, contaban con una lista de sus miembros. El problema es que esta lista debería ser privada, pero no lo era. Desde el 29 de junio, ya no es posible recopilar este tipo de datos, justo un mes después de que el analista de seguridad se pusiese en contacto con Facebook.