Comprometer cuentas de Facebook (y otras redes sociales) mediante la suplantación de cuentas de Hotmail inactivas

Una forma de recuperar una cuenta en muchas redes sociales es a través del correo electrónico.
Por ejemplo Facebook tiene, además de la recuperación a través del número de teléfono, la opción de recuperación a través de correo electrónico:

Decimos Facebook por ser uno de los más populares y porque tiene miles de usuarios activos vinculados a "Hotmail.com", pero esta alerta puede aplicarse a otras redes sociales.

La opción de recuperación de contraseña ha salvado a muchas personas pues no nos engañemos, con tantas contraseñas para recordar, es muy natural olvidar de vez en cuando alguna.

Sin embargo, aquellos usuarios que tienen cuentas antiguas de Microsoft, más concretamente de "hotmail.com" (las que hemos evaluado), y que usan esas mismas cuentas vinculadas a una red social, puede estar en riesgo grave de que comprometan su cuenta en alguna red social.

Después de un período de inactividad, la cuenta de correo electrónico "hotmail.com" es temporalmente cancelada, y el usuario sigue siendo capaz de recuperarla. Después de un período de más de cuatro meses, la cuenta y todos los correos electrónicos se eliminarán de forma permanente y ya no se podrá acceder a ella.

Esto es bastante común, al menos en la mayoría de los proveedores de correo electrónico, pero en el caso de Microsoft, el nombre de correo electrónico del usuario está disponible incluso después de cancelado.

Este fallo de seguridad permite a un usuario malintencionado robar información o cuentas de redes sociales, usando la opción de recuperación de la cuenta a través de correo electrónico con el viejo e-mail.

La técnica es muy sencilla, basta con encontrar la vieja cuenta y "reactivarla" de nuevo.

Por ejemplo, la dirección de correo n***@hotmail.com, está activa en la configuración de cuenta de Facebook...

pero inactiva para Microsoft...

Por lo tanto, la cuenta de correo electrónico n***@hotmail.com está disponible y se puede "reactivar":

Una vez reactivada será posible la recuperación de contraseña en Facebook.

Como decimos el agujero de seguridad no está en Facebook, que fue utilizado a modo de ejemplo porque muchos usuarios tienen cuentas de "hotmail.com" asociados a ella.

La forma más sencilla para que un usuario pueda hacer frente a esta amenaza es yendo a los ajustes de la cuenta y sustituir "hotmail" por otra dirección de correo electrónico.

Esta entrada tiene como fin sólo alertar.

por c4io