Recientemente se ha publicado un sorprendente estudio elaborado por investigadores de la Universidad de Columbia (Vancouver, Canadá) que pone en entredicho los mecanismos de defensa de las redes sociales contra ataques automatizados cuyo objetivo es alterar el grafo social y obtener una gran cantidad de datos personales de sus usuarios. Durante el desarrollo de este estudio denominado "The Socialbot Network: When Bots Socialize for Fame and Money" se recogieron 250Gb con datos "privados" de usuarios de Facebook en tan solo 8 semanas utilizando 102 "impostores" programados para hacerse pasar por perfiles reales en la plataforma. A estos "impostores" se les ha denominado Socialbots.
Un Socialbot es un software que controla una cuenta de una red social de manera automática. Tiene la habilidad de llevar a cabo actividades básicas, como publicar contenido o enviar mensajes a sus contactos e incluso nuevas peticiones de amistad. Realizado todo de manera ordenada y siendo muy cuidadosos para no hacer sonar las alarmas. Se diseñan para ser discretos y emular, en la medida de lo posible, el comportamiento humano. Estos bots pueden, una vez hayan establecido relaciones dentro del grafo social, cosechar datos de los perfiles de los usuarios con valor comercial como son el número de teléfono móvil, la dirección de email, gustos , intereses y diversa información valiosa.
La política de Facebook es clara en este sentido. Si se detecta que un perfil de usuario no tiene correspondencia con una persona física, dicha cuenta será bloqueada hasta que el propietario de la cuenta lo demuestre. Para ello Facebook implementa un sistema de defensa conocido como FIS (Facebook Immune System) el cúal se ha revelado poco eficaz durante la realización de este estudio. Otros dispositivos de seguridad como los Captchas tampoco han frenado el avance de la intrusión. De hecho Facebook es especialmente vulnerable a estas infiltraciones a larga escala debido a la facilidad de automatizar los procesos (mediante su API o mediante llamadas HTTP). Y en el lado de los usuarios, se ha detectado que estos son especialmente confiados al aceptar peticiones de amistad de extraños especialmente si existe alguna conexión indirecta entre ellos. La cantidad de datos extraída de los usuarios varía en función de su configuración de privacidad y esto incluye no solo los que han aceptado la solicitud de los bots, sino también todos sus respectivos contactos. Eso sin contar con las publicaciones en el muro de los usuarios afectados, videos y fotos que no se han recogido por no ser interesantes para el objetivo del estudio. La metodología utilizada por los Socialbots se basa en la Ingeniería Social que se describe como el arte de conseguir acceso a objetivos seguros mediante el uso de la psicología sin necesidad de emplear técnicas de hacking.
Como consecuencia de este estudio se han obtenido datos realmente inquietantes. Durante las 8 semanas de actividad de los 102 Socialbots se enviaron 8.570 peticiones de amistad de las cuales fueron aceptadas 3.055. Incluso los bots recibieron un total de 331 peticiones de amistad. Muchas de las imágenes de perfil de los bots fueron extraídas de hotornot.com y el grado de aceptación aumenta escandalosamente cuando la imagen de perfil corresponde a un patrón estético y sexual. Solamente 20 perfiles falsos fueron desactivados por el FIS (Facebook Immune System) y posteriormente se ha descubierto que la causa fueron las denuncias de spam realizadas por los propios usuarios y no se han detectado indicios que apunten que el propio FIS los haya desenmascarado.
Los responsables del proyecto han asegurado que han borrado todo este material previamente encriptado y, a pesar de las connotaciones éticas del propio estudio, han demostrado la vulnerabilidad de las redes sociales. La conclusión es que queda mucho trabajo por hacer en materia de seguridad y privacidad en redes sociales y debemos estar preparados para este tipo de ataques en el mundo real con propósitos que van más allá del ámbito académico.
El estudio completo aquí: http://lersse-dl.ece.ubc.ca/record/264/files/ACSAC_2011.pdf?version=1
