Un bot de Telegram vende más de 500 millones de números de teléfono unidos a cuentas de Facebook robados hace más de un año

A principios de 2020 una vulnerabilidad permitía ver el número de teléfono vinculado a las cuentas de Facebook y que permitió crear una base de datos con información privada de 533 millones de usuarios de muchos países del mundo. Parece ser que este hecho no tuvo mucha visibilidad y ha tenido como consecuencia otro ataque a la privacidad que tuvo lugar hace unos días.

De acuerdo con Alon Gal, cofundador y CTO de la firma de seguridad Hudson Rock, una empresa de Israel, hace unos días, un usuario creó un bot en Telegram que permite consultar una base de datos donde se pueden encontrar los números de teléfono vinculados a una gran parte de las cuentas de Facebook. Este “servicio” que ofrece el bot de Telegram es de pago, según Gal puso en su cuenta de Twitter.

Un riesgo aue según algunas fuentes existe desde 2019

In early 2020 a vulnerability that enabled seeing the phone number linked to every Facebook account was exploited, creating a database containing the information 533m users across all countries.

It was severely under-reported and today the database became much more worrisome 1/2 pic.twitter.com/ryQ5HuF1Cm

— Alon Gal (Under the Breach) (@UnderTheBreach) January 14, 2021

El líder de la firma Hudson Rock ha filtrado la cantidad de números robados según país. Así, encontramos que hay casi 11 millones de números de teléfono de usuarios de España, de acuerdo con esta fuente. La cifra del robo es mucho mayor que la de otros grandes países europeos: por ejemplo, Alemania, que tiene casi el doble de población que España, los números filtrados son de poco más de 6 millones.

Aunque el líder de la empresa de seguridad israelí habla de una vulnerabilidad descubierta en 2020, otras fuentes apuntan a que esa vulnerabilidad ya parcheada lleva suponiendo un riesgo desde 2019. El precio para acceder a los números de teléfono son de 20 dólares por una consulta unitaria (un crédito) y hasta 5.000 dólares por un acceso masivo (el bot da 10.000 créditos), como ha podido comprobar el portal Mortherboard de Vice, en sus investigaciones tras leer la publicación de Gal en Twitter.