Facebook e i numeri di telefono rubati: come capire se il proprio è presente e

Sabato sera una lista con oltre mezzo miliardo di numeri di telefono, appartenenti ad utenti Facebook, è stata pubblicata su un noto forum. Il file relativo agli utenti italiani è enorme, e l’Italia è uno dei paesi più colpiti: sono quasi 37 milioni di record, anche se sono presenti molti doppioni dovuti a persone che hanno ricreato pagine o account doppi quindi il numero effettivo si riduce a circa 35 milioni.

Come hanno fatto gli hacker a prelevare i dati di un numero così grande di persone, oltre mezzo miliardo?

Nel 2019 Facebook ha chiuso un bug che permetteva l’accesso ad una tabella contenente due informazioni: il numero di telefono indicato dalla persona come numero al quale inviare le informazioni di recupero in caso di perdita di password e il Facebook ID di una persona, ovvero quell’identificativo unico che usa Facebook per associare la pagina ad uno specifico utente. La falla è stata chiusa e segnalata, come si dovrebbe fare. Ai tempi, inoltre, il GDPR non era ancora attivo.

Tutti coloro che hanno inserito un numero di cellulare prima del 2019, per l’autenticazione a due fattori o semplicemente perché Facebook lo ha chiesto, sono al 100% presenti all’interno della lista.

Per verificare se Facebook conosce il proprio numero basta andare all’interno del profilo, selezionare “Per Cellulare” nella colonna di sinistra della pagina impostazioni e vedere il numero presente nella schermata “I tuoi cellulari”.

Il Facebook ID e il numero di cellulare sono gli unici dati “privati” che sono stati trafugati a Facebook tramite l’hack.

Purtroppo, tramite il Facebook ID, è possibile risalire anche ai dati pubblici che un utente ha scelto di mostrare del proprio profilo: all’interno dei file che sono stati distribuiti sul forum di pirateria sono presenti quindi anche i dati che un utente ha scelto volutamente di mostrare.

Abbinato ad un Facebook ID e ad un numero di cellulare ci sono quindi il nome e il cognome che una persona ha inserito sul profilo e ogni altra informazioni del profilo che un utente ha impostato come pubblica: lavoro, data di nascita, stato coniugale, biografia e altro ancora. La mail è presente solo se una persona ha scelto di mostrare anche la mail, ma è un caso davvero raro.

Se una persona ha indicato informazioni fasulle, ad esempio su Facebook come nome visualizzato ha scelto “Bobo il Bomber”, ad un numero di telefono sarà associato “Bobo il bomber”.

L’assenza di una mail rende del tutto inutile l’utilizzo di siti come haveibeenpwned.com. Anzi, sfruttare haveibeenpwned.com è anche controproducente in questo caso perché l’indirizzo email di una persona potrebbe essere presente in una delle migliaia di liste usate dal popolare sito per verificare gli account compromessi e non essere collegata a questo specifico hack.

(Update: haveibeenpwned.com è stato aggiornato in queste ore e ora permette anche il controllo del…