Un difetto di rete causa errori Web e confusione su Facebook

Una madre della Georgia e le sue due figlie hanno effettuato l'accesso a Facebook dai telefoni cellulari lo scorso fine settimana e si sono ritrovate in una situazione sorprendente: account di sconosciuti con pieno accesso a una serie di informazioni private. Il problema tecnico è il risultato di un problema di routing all'indirizzo fl'operatore wireless della famiglia, AT&T – ha rivelato una falla di sicurezza poco conosciuta con implicazioni di vasta portata per tutti coloro che utilizzano Internet, non solo per gli utenti di Facebook.

In ogni caso, Internet ha perso traccia di chi fosse chi, inserendo le donne negli account sbagliati. Non sembra che gli utenti avrebbero potuto fare qualcosa per fermarlo. Il problema aggiunge una dimensione agli avvertimenti dei ricercatori secondo cui esistono molti modi in cui le informazioni online – dai dati banali agli oscuri segreti – possono andare storte.

Diversi esperti di sicurezza hanno affermato di non aver mai sentito parlare di un caso come questo, in cui alla persona sbagliata è stata mostrata una pagina web il cui nome utente e password erano stati inseriti da qualcun altro. Non è chiaro se tali episodi siano rari o semplicemente non segnalati. Ma gli esperti sostengono che tali falle potrebbero verificarsi, ad esempio, sui servizi di posta elettronica, e che qualcosa di simile potrebbe accadere anche su un PC, non solo su un telefono.

“Il fatto che sia successo è la prova che potrebbe potenzialmente succedere di nuovo e con qualcosa di molto di più più importante di Facebook”, ha affermato Nathan Hamiel, fondatore dell’Hexagon Security Group, uno studioso organizzazione.

Candace Sawyer, 26 anni, dice di aver subito sospettato che qualcosa non andasse quando ha provato a visitare la sua pagina Facebook sabato mattina.

Dopo aver digitato Facebook.com nel suo smartphone Nokia, è stata introdotta nel sito senza che le venissero richiesti nome utente e password. Era in un account che non somigliava al suo. Aveva meno richieste di amicizia di quanto ricordasse. Poi ha trovato una foto del proprietario della pagina.

"È bianco, io no", ha detto ridendo.

Sawyer si è disconnesso e ha chiesto a sua sorella Mari, 31 anni, la sua socia in un'azienda di catering di dolci, e alla loro madre, Fran, 57 anni, di vedere se avevano lo stesso problema sui loro telefoni. Mari è finita nella pagina di un'altra donna.

Il telefono di Fran, che non era mai stato utilizzato prima per accedere a Facebook, l'ha portata all'interno della pagina di un altro sconosciuto, appartenente a una giovane donna dell'Indiana. Hanno inviato un'e-mail a uno dei loro account per dimostrarlo. Erano sbalorditi.

"Ho pensato che fosse il telefono - 'Forse questo telefono è semplicemente strano e fa cose magiche e orribili e devo sbarazzarmene'", ha detto Candace Sawyer.

Le donne, che vivono insieme a East Point, in Georgia, fuori Atlanta, erano recentemente passate allo stesso modello di telefono e utilizzavano tutte lo stesso operatore telefonico, AT&T.

Sawyer ha contattato l'Associated Press dopo aver segnalato il problema a Facebook e AT&T. Il problema non era nei telefoni. Era un difetto nell'infrastruttura che collegava i telefoni a Internet. Ciò mette in luce un grave problema.

Generalmente i siti Web e i computer vengono compromessi dall'interno. Un hacker può fare in modo che una pagina Web o un computer eseguano codice di programmazione che non dovrebbero. Ma in questo caso, è stata una lacuna nella sicurezza tra il telefono e il sito Web a esporre le pagine Facebook di sconosciuti ai Sawyer. Apparecchiature mal configurate, software di rete scritti male o altri errori tecnici avrebbero potuto far sì che AT&T confondesse il flusso di informazioni dai telefoni dei Sawyer a Facebook e viceversa.

Fortunatamente, ha detto Hamiel, la vulnerabilità sarebbe di utilità limitata per un hacker interessato a creare un caos diffuso, perché questo buco gli consentirebbe di accedere a un solo account alla volta. Per causare ulteriori danni, il criminale dovrebbe riuscire nell'improbabile impresa di ottenere il pieno controllo dell'apparecchiatura che instrada il traffico Internet verso i singoli utenti.

Il portavoce di AT&T Michael Coe ha detto che i suoi clienti wireless sono finiti nelle pagine Facebook sbagliate in "un numero limitato di casi" e che un problema di rete dietro questi episodi è stato risolto.

I Sawyer hanno riscontrato un problema tecnico diverso. Coe ha affermato che un’indagine indica un “cookie mal indirizzato”. Un cookie è un file che alcuni siti Web inseriscono sui computer per memorizzare informazioni identificative, incluso il nome utente che i membri di Facebook inseriranno per accedere ai propri pagine. Coe ha detto che i tecnici non sono riusciti a capire come il cookie fosse stato indirizzato al telefono sbagliato, indirizzandolo all’account Facebook sbagliato.

Ha anche detto che AT&T può confermare solo che il problema si è verificato su uno dei telefoni dei Sawyer, probabilmente perché si erano disconnessi da Facebook sugli altri due prima di segnalare l'incidente. Facebook ha rifiutato di commentare e ha rivolto le domande ad AT&T.

Alcuni siti Web sarebbero immuni da questo tipo di confusione, in particolare quelli che utilizzano la crittografia. Un browser Web avrebbe difficoltà a decifrare la crittografia su una pagina che un utente di computer non ha effettivamente cercato, ha affermato Chris Wysopal, co-fondatore di Veracode Inc., una società di sicurezza.

I siti sensibili e quelli utilizzati per operazioni bancarie ed e-commerce utilizzano generalmente la crittografia. Ma la maggior parte degli altri siti, inclusi alcuni servizi di posta elettronica basati sul Web, non lo utilizzano. Un modo per verificare: gli indirizzi Web dei siti crittografati iniziano con "https" anziché "http". Facebook utilizza la crittografia quando vengono immessi nomi utente e password per nascondere l'accesso agli snoop, ma dopo aver immesso le credenziali la crittografia viene caduto.

Non è chiaro quante persone siano state colpite dal problema scoperto dai Sawyer e se fosse limitato a Facebook.

Il motivo per cui tutte e tre le donne hanno riscontrato il problema dipende dal modo in cui sono progettate le reti cellulari. In alcuni casi, tutto il traffico Internet mobile per una particolare area viene instradato attraverso la stessa apparecchiatura di rete. Se quell'apparecchiatura si comporta in modo anomalo o è impostata in modo errato, accadono cose strane quando i computer lungo la linea ricevono i dati.

Di solito ciò significa che un sito Web semplicemente non si carica, ha affermato Alberto Solino, direttore dei servizi di consulenza sulla sicurezza per Core Security Technologies. Nel caso dei Sawyer, “in qualche modo hanno sbagliato utente ma hanno potuto continuare a utilizzare quell’account per un lungo periodo di tempo. Questo è ciò che è strano”, ha detto.

L'AP ha provato a contattare due delle persone le cui pagine Facebook sono state esposte ai Sawyer, ma le chiamate e le e-mail non hanno ricevuto risposta. Non è chiaro se siano anche clienti AT&T, anche se gli esperti di sicurezza affermano che è probabile.

In effetti, è accaduto in un incidente simile a novembre. Stephen Simburg, 25 anni, che lavora nel marketing, era a casa per il Ringraziamento a Vancouver, nello stato di Washington, quando ha effettuato l'accesso a Facebook dal suo cellulare. Non riconosceva le persone che gli avevano scritto messaggi.

"Pensavo di essere diventato molto popolare all'improvviso, o che qualcosa non andava", ha detto. Poi vide la foto del titolare del conto: una giovane donna. Ha ottenuto il suo indirizzo e-mail dal sito, si è disconnesso e ha scritto un messaggio alla donna. Le ha chiesto se l'aveva incontrata ad un certo punto e lei aveva preso in prestito il suo telefono per controllare il suo account Facebook.

"No", ha risposto, "ma stavo giusto dicendo alla mia famiglia che sono finita nel tuo profilo!"

Simburg e la donna hanno scoperto che stavano entrambi utilizzando AT&T per accedere a Facebook sui loro telefoni. (AT&T non ha rilasciato commenti perché l'incidente non è stato segnalato alla società.)

"Mi sentivo come se fossi stato deluso dalla compagnia telefonica e da Facebook", ha detto. Dice di essersi lasciato l'incidente alle spalle. Ma resta un pezzo: lui e la giovane donna ora sono amici su Facebook.

Raccomandazioni degli editori

• Come impostare il feed di Facebook per mostrare i post più recenti
• I reel stanno per apparire in un'altra funzionalità di Facebook
• Meta ha trovato oltre 400 app mobili “progettate per rubare” gli accessi a Facebook
• Qual è il momento migliore per pubblicare su Facebook?
• Ora puoi utilizzare l'adesivo Aggiungi il tuo su Reels per Facebook e Instagram