Facebook pedía a algunos nuevos usuarios la contraseña de su cuenta de correo para registrarse [Actualizada]

Hola, soy Facebook. Si quieres crear una nueva cuenta, tendrás que darme la contraseña de tu correo electrónico. No queremos acceder a él, ojo, solo es para verificar que esa cuenta te pertenece y eres quien dices ser.

Eso es en resumen lo que Facebook ha estado haciendo con algunos usuarios que trataban de crear nuevas cuentas en el servicio. La peligrosa práctica ha sido desvelada por un experto en ciberseguridad, y la polémica desatada ha hecho que Facebook dé marcha atrás y anuncie que dejarán de utilizarla muy pronto.

Otra invasión a la privacidad

Las polémicas de Facebook en materia de privacidad han sido muchas y muy frecuentes en los últimos meses, pero parece que la compañía no toma decisiones demasiado adecuadas para que estas críticas se repitan una y otra vez.

El último problema ha partido de esa sorprendente mecánica de Facebook de pedirte la contraseña de tu cuenta externa de correo electrónico -no la que usas para proteger esa nueva cuenta en el servicio- para verificar que esa cuenta te pertenece.

El sistema se usaba en cuentas sospechosas que por ejemplo se creaban con direcciones de correo web temporales y desde localizaciones extrañas que por ejemplo se simulan a través de una VPN. Lo comprobaron en Daily Beast, donde intentaron crear una con un VPN en Rumanía y una cuenta temporal que provocó que efectivamente apareciera ese mensaje pidiendo la contraseña de esa cuenta de correo.

En la información adicional que Facebook muestra en ese proceso se indica que "Facebook no almacenará tu contraseña", pero ese mensaje no es demasiado tranquilizador teniendo en cuenta que hace poco se descubría cómo la compañía había almacenado las contraseñas de las cuentas de sus usuarios en texto plano, de forma insegura.

En Xataka nos hemos puesto en contacto con los responsables de Facebook en nuestro país. La opción, apuntaban, estaba orientada a ahorrarle a la gente tiempo en el proceso de verificación, y solo la gente que se conectaba a Facebook en PCs de sobremesa o portátiles y usaban servicios de correo poco comunes que no soportaban la tecnología OAuth estaba afectada. Además nos han ofrecido el siguiente comunicado oficial de la compañía:

Facebook no almacena estas contraseñas. Un grupo muy pequeño de personas tiene la opción de introducir su contraseña de correo electrónico para verificar su cuenta cuando se inscriben en Facebook por primera vez. La gente siempre puede elegir confirmar su cuenta con un código enviado a su teléfono o un enlace enviado a su correo electrónico. Dicho esto, entendemos que la opción de verificación de la contraseña no es la mejor manera de hacerlo, así que vamos a dejar de ofrecerla.

No está claro cuántos usuarios se han visto afectados, pero Facebook aseguraba que era posible obviar esa opción y seguir verificando la cuenta con un enlace enviado a su correo o un SMS a su móvil. Para ello, eso sí, había que hacer click en las palabras "¿Necesitas ayuda?" de la esquina, algo que no hacía demasiado patente esa posibilidad.

Vía | Daily Beast