¿Me gusta o no me gusta? (Facebook clickjacking)

Facebook es la mayor de las redes sociales, y a pesar de diversas polémicas sobre la (falta de) privacidad de la información, no deja de crecer. Una de las acciones más sencillas que permite es poder decir que “te gusta” algo. Cuando estamos en la red social, basta con pinchar en el icono correspondiente para que digamos que nos gusta la foto de un amigo, un comentario, una aplicación… y también se puede decir que te gusta algo sin estar en Facebook directamente. Muchas páginas web han implementado esto, de tal formas que puedes decir que algo te gusta, mientras estemos logueados en Facebook, podemos decir que nos gusta algo haciendo un solo click. Lo mejor es verlo con un ejemplo; llevo más de un año jugando a un juego de rol online de vampiros llamado Blood Wars, que no tiene nada que ver con Facebook. Sin embargo, recientemente han añadido la opción de poder decir en Facebook que te gusta desde la página principal del juego:

Al pinchar en el link que te dan, automáticamente se actualiza tu estado en Facebook, indicando que te gusta Blood Wars:

Está bien, es cómodo para los usuarios de Facebook, para las empresas es genial porque permite que se hable de ellas o sus productos de forma más fácil… entonces, ¿cuál es el problema? Pues que estamos hablando de páginas web y sencillo código en javascript que nos permiten “pervertir” el uso original que se le había dado a esta funcionalidad. Imaginad que pongo aquí, en el blog de PandaLabs, un icono para que digas que te gusta PandaLabs. Tu pensarás que en tu cuenta aparecerá que te gusta PandaLabs… pero, y si he cambiado el código para que diga “Saber que es tonto”? en Facebook aparecería así: “A Luis le gusta saber que es tonto”. Bien, esto no es tan grave, sólo se trata de una broma. Podríamos hacerla más interesante, podría poner un link prometiendo que si pincháis en él entráis en el sorteo de un iPad, y en cambio al hacer click aparecerá en Facebook LO QUE YO QUIERA 🙂

Pero pongámonos en la mente de un cibercriminal, que busca dinero. Puede querer ganar dinero haciendo que visites una página que tenga publicidad, por ejemplo. O aún peor, que distribuya malware y nos infecte con un falso antivirus, un troyano, etc. De momento no hemos visto ningún caso de distribución de malware, pero sólo es cuestión de tiempo. En las últimas semanas no han dejado de aparecer casos donde se utilizan ganchos como “101 Hottest Women in the World”, “Farmville” o “Sexo en Nueva York 2”, prometiéndonos acceder a contenido sobre la temática de la página, ver un video, etc. y lo único que pasa es que se “propaga” apareciendo en Facebook y haciendo caer en la trampa a todos nuestros amigos que pinchen en el link.

Mi consejo: ser desconfiados, no os fiéis de nada, y desactivad javascript en vuestros navegadores 😉