Ayer publiqué un post que tiene ver con las opciones de privacidad de Facebook asociadas a los correos electrónicos, y mañana sacaré la segunda parte del trabajo hecho por Enrique relativa a las búsquedas de usuarios por números de teléfono, pero antes de proceder con ella, y por completar un poco lo que en él se va a contar, os voy a dejar algo que de simple, seguro que a mucha gente no se le ha ocurrido. Consiste en cómo saber cuál es la cuenta de Facebook asociada a un número de teléfono.
 |
| Figura 1: Averiguar la cuenta de Facebook asociada a un número de teléfono |
Sí, sé que en las opciones de buscar se puede buscar gente por el número de teléfono si así lo ha decidido - y en alguna ocasión más que nos contará también el post de mañana - pero este truco es más sencillo aún todavía. Imagina que tienes en tu agenda de teléfonos el número de alguien que quieres saber qué cuenta de Facebook está usando.
Es más, sospechas que es alguien con un nombre de usuario raro, o incluso ya ha dejado de usar el mismo nombre de usuario. ¿Cómo saber cuál es la cuenta que tiene ahora? El truco consiste en que, si el usuario:
 |
| Figura 2: En la página de Login de Facebook puedes poner un número de teléfono |
Es más, sospechas que es alguien con un nombre de usuario raro, o incluso ya ha dejado de usar el mismo nombre de usuario. ¿Cómo saber cuál es la cuenta que tiene ahora? El truco consiste en que, si el usuario:
1.- Ha configurado un Segundo Factor de autenticación basado en número de teléfono
2.- Ha dado su número de teléfono en el proceso de creación de la cuenta porque se lo ha exigido Facebook.
3.- Ha añadido el número de teléfono a su información de perfil.
4.- Ha instalado Facebook Messenger (como veremos en el post de mañana)
Entonces, al igual que ya hice para cotillear la seguridad de las cuentas de Facebook, se puede intentar hacer login con este número de teléfono, independientemente de si el usuario ha seleccionado la opción de "Compartir el número de teléfono solo con los amigos". Incluso en ese caso, se puede intentar hacer login con el número de teléfono.
 |
| Figura 3: Esta opción no evita que descubran qué perfil está asociado a tu número de teléfono |
La gracia (o el defecto bajo mi punto de vista personal) es que no hay forma que yo conozca - incluso aunque hayas dedicado tiempo a fortificar tu cuenta de Facebook - que permita evitar que se inicie sesión con el número de teléfono, así que cualquier puede intentarlo las veces suficientes hasta que Facebook te diga una de estas dos cosas:
 |
| Figura 4: Ese número de teléfono no está asociado a ninguna cuenta de Facebook |
 |
| Figura 5: El perfil asociado al número de telefono probado es.... |
En ese momento ya se sabe cuál es nombre del perfil de Facebook que se está utilizando. Por supuesto, realizar esto para hacer un ataque de Fuerza Bruta y sacar muchos nombres de usuario asociados a números de teléfono es complicado, pero para localizar el perfil de gente concreta es algo que funciona bastante bien... incluso si ha cambiado el nombre de usuario. En mi opinión es un leak de Facebook de esos que no me gustan.
 |
| Figura 6: Un ProfileID asociado a un número de teléfono |
Aun así, lo más raro que me he topado con esto ha sido que, buscando el ID de una cuenta para saber si había cambiado de nombre de usuario, en el campo ProfileID,Facebook dejaba configurado directamente el número de teléfono, lo que me deja aún más extrañado.
Saludos Malignos!
