Las redes sociales tienen serios problemas de seguridad

ace un año y medio Facebook abrió sus puertas al intercambio de aplicaciones de terceros. En este tiempo, millones de sus usuarios han usado pequeñas aplicaciones para jugar o intercambiar recomendaciones de música o películas. En la medida que la popularidad de estas aplicaciones ha ido creciendo, los expertos en seguridad informática han empezado a preocuparse, ya que las redes sociales, además de ser un medio muy eficaz para distribuir aplicaciones informáticas, también lo pueden ser para distribuir código malicioso.

Ya hay en marcha varios proyectos que tratan de demostrar lo real que es este peligro. El último de ellos ha sido llevado a cabo por la Foundation for Research and Technology Hellas (FORTH). Sus investigadores han creado una aplicación que permite mostrar bonitas fotografías de National Geographic en la página del perfil del usuario de Facebook. Esta aplicación tiene otra propiedad invisible para el usuario: solicita archivos de imágenes de un servidor concreto, en este caso un servidor de pruebas del FORTH. Si muchos usuarios instalaran esta "inocente" aplicación, mandarían sin saberlo miles de peticiones a ese servidor, de tal modo que se bloquearía o sus dueños legítimos no lo podrían usar.

Los investigadores no hicieron ningún esfuerzo para promover esta aplicación entre los usuarios de Facebook y, sin embargo, en sólo unos días 1.000 usuarios ya lo habían instalado en sus ordenadores. El ataque resultante sobre el servidor usado para el experimento no fue demasiado severo, pero sería suficiente para bloquear una pequeña web, por ejemplo.

Pocas soluciones

Según informa Technology Review, un análisis más detallado de las páginas de redes sociales pone de manifiesto, sin embargo, que los daños pueden ser todavía mayores.

Dos consultores informáticos, Nathan Hamiel, de Hexagon Security Group, y Shawn Moyer, de Agura Digital Security, crearon recientemente muestras de aplicaciones maliciosas en redes sociales como OpenSocial, hi5 u Orkut. Por ejemplo, una de las aplicaciones, llamado CSRFer, manda una petición de inclusión no autorizada para pasar a ser "amigo" de un usuario previamente definido. Según Hamiel, esto es sólo la muestra de un botón, ya que hay muchas formas diferentes de lanzar ataques a través de redes sociales. Desgraciadamente, hay muy pocas cosas que se puedan hacer al respecto.

El problema es que para los usuarios es muy complicado saber exactamente qué hace la aplicación descargada de una red social. Los factores sociales también juegan un papel importante porque la redes sociales fomentan una atmósfera de confianza que es muy fácil de explotar por quienes no tienen buenas intenciones.

Por ejemplo, hace poco se extendió vía Facebook un programa malicioso en forma de una falsa actualización de Flash que fue reenviado de un usuario a otro. "Fue el aspecto social lo que impulsó este comportamiento técnicamente estúpido", comenta Hamiel

Las empresas que están detrás de las redes sociales están empezando a tener en cuenta este tipo de problemas de seguridad. Facebook, por ejemplo, ha creado una página de seguridad para aconsejar a sus usuarios respecto a los riesgos potenciales a los que se pueden enfrentar. La empresa asegura que su equipo de seguridad está investigando y revisando su propio código en busca de agujeros, así como contactando con usuarios que les hagan saber si no están viendo alguno de esos problemas.

Misión imposible

Los expertos advierten que es casi imposible erradicar todos los programas maliciosos. Un atacante puede crear un aplicación legítima y esperar a que muchos usuarios la hayan instalado para hacerla "mala" actualizándola con un código malicioso.

Limitar las capacidades de las aplicaciones tampoco es una solución, ya que acabaría con lo que las hace tan atractivas para los usuarios. Es complicado porque, por definición, las redes sociales tratan de facilitar la creatividad y la comunicación. Si hay restricciones, las redes sociales pueden terminar por desnaturalizarse.

Una solución más efectiva podría ser contratar programadores para revisar el código usado por aplicaciones externas. Evidentemente, el coste de esta solución lo hace inviable y poco atractivo para muchas empresas que están detrás de las redes sociales.

Y es sólo el principio. Lo previsible es que el tipo de ataques y su cantidad aumenten según vayan aumentando las redes sociales. En este sentido, Hamiel ve un problema de educación y de percepción, ya que la gente no tiene el mismo respeto por el software que se ejecuta en sus buscadores que por algo que se bajan de Internet para instalarlo.