Un investigador de seguridad informática indio, ha recibido recientemente una recompensa de 12.500 dólares por haber denunciado a Facebook una vulnerabilidad con la que se puede eliminar cualquier foto de la red social.

El susodicho, Arul Kumar, explicó en su blog que el ataque explota errores en la forma en que Facebook Support Dashboard administra las solicitudes para eliminar fotos. Para conseguirlo únicamente hace falta tener dos cuentas activas para que funcione: en el momento en el que un usuario envía mediante correo una de las solicitudes, se genera una URL para la imagen.

El investigador Kumar consiguió descubrir una manera de alterar dos parámetros importantes de dicha URL: el valor de “Photo-id”, que identivida la imagen y el “Profile_id”, que se refiere al receptor de la solicitud de baja. El primero de los valores se encuentra de una manera muy sencilla, ya que únicamente hay que buscar el identificador “fbid” de su URL, y el segundo de los valores también se pueden encontrar fácilmente utilizando la herramienta Facebook Graph.

Con acceso a estos dos valores, el hacker ha podido alterar la solicitud para eliminar cualquier foto de las páginas, grupos o perfiles de Facebook sin dar ningún aviso a sus dueños. Lo que hizo Kumar fue enviar un video a Facebook mostrando el error en la cuenta de Facebook de Mark Zuckerberg, pero sin eliminar ninguna de sus fotos. Al poto tiempo la red social le envió una respuesta: “OK, encontramos el error, lo estamos solucionando. El parche debería publicarse mañana a primera hora. Te avisaré cuando lo publiquemos para que vuelvas a hacer la prueba. Quería decirte que tu video fue muy útil, ojalá todos los informes de vulnerabilidades tuvieran un video como este

La publicación de esta vulnerabilidad hizo que el programa White Hat de Facebook le entregarla al hacker una recompensa de 12.500 dólares. Esta noticia se hizo pública después de que el programa White Hat rechazara premiar a un hacker palestino que encontró la manera de irrumpir en la cuenta de Facebook de cualquier usuario de la red social, demostrándolo con la cuenta de Mark Zuckerberg. Facebook no le entregó ningún premio, pero la comunidad de internet se organizó para que consiguiera un premio por su esfuerzo.