Self-XSS no es el nombre del hijo de Elon Musk, la actual cabeza visible de Tesla, sino de un tipo de estafa que está causando dolores de cabeza a Facebook en los últimos meses. Estafa, treta o método de ingeniería social, llámalo ‘x’. Como la mayoría de estafas que nacen en torno a Facebook, el fin único de esta treta es el de obtener los datos de acceso a la red social de un número ingente de usuarios. Tal ha sido el número de casos reportados que la propia compañía se ha visto obligada a publicar una guía en la página de asistencia de Facebook, guía que podemos ver a través de este enlace.
Cómo pasar todas tus fotos y vídeos de Facebook a Google Fotos
Así roban tu cuenta de Facebook con Self-XSS
Según la Wikipedia, Self-XSS se define como un ataque de ingeniería social usado para perder control de las cuentas web de las víctimas. Lo que diferencia a este tipo de ataques del resto es que es el propio usuario ejecuta el código que les permite obtener los datos de acceso a la cuenta. El método en cuestión se vale de la consola del navegador (Google Chrome, Mozilla Firefox, Microsoft Edge…) para codificar los comandos que envían las credenciales a los atacantes. De hecho, su nombre procede del tipo de comando que tendremos que ejecutar en la consola.
La forma en la que esta estafa se fragua ha venido evolucionando desde su popularización. Tal y como se indica en la página de asistencia de Facebook, los atacantes publican un mensaje afirmando tener la ‘clave’ para entrar en cuentas de Facebook ajenas. Por lo general, este mensaje se difunde a través del muro de las víctimas o bien a través de Facebook Messenger una vez se han hecho con las credenciales de los usuarios.
Más allá del contenido del mensaje, que puede variar en función del país de procedencia, lo que hacen los cacos es adjuntar un enlace fraudulento. Dentro de este enlace se encuentran las supuestas instrucciones que nos permite robar la cuenta de Facebook de otro usuario. Y es aquí donde se fragua la supuesta estafa.
La web enlazada desde el mensaje original nos proporciona una serie de códigos que tendremos que pegar en la consola del navegador dentro de Facebook. Estos comandos identifican los campos correspondientes dentro del sitio web para obtener la dirección de correo electrónico y la contraseña. Posteriormente, el comando envía las credenciales a una dirección IP, que se corresponde con el servidor de los atacantes. Todo ello de manera transparente ante los ojos del usuario, ya que el código no es legible por personas no expertas en el campo de la programación y la seguridad informática.
Tras hacerse con el control de la cuenta, los atacantes vuelven a replicar el método publicando mensajes en el muro de Facebook y las conversaciones privadas de Facebook Messenger. ¿El objetivo? Obtener datos comprometedores y en última instancia, efectivo, ya sea a través de la extorsión particular o bien a través de la venta de datos a terceros.
He caído en la trampa, ¿qué puedo hacer?
La única solución que podemos aplicar para recuperar el acceso a nuestra cuenta consiste en cambiar la contraseña de Facebook en caso de que no haya sido alterada por los cacos. En caso contrario, lo más recomendable es acudir a las opciones de recuperación de Facebook. En este otro artículo explicamos cómo actuar paso a paso.
Dependiendo de la forma de proceder de los atacantes, podremos recuperar nuestra cuenta a través del número de teléfono que hayamos usado en el proceso de de registro de Facebook o bien por medio de una dirección de correo electrónico alternativa. También podemos recurrir a nuestros contactos de confianza y a una serie de preguntas de seguridad para recuperar el acceso completo.
