“Fuga masiva de datos: 500 millones de usuarios de Facebook expuestos en la dark web”

Ciberataque histórico: Información personal de medio billón de cuentas, incluyendo números de teléfono y correos, circula libremente en foros clandestinos.

Una base de datos con información de más de 500 millones de usuarios de Facebook —que incluye números de teléfono, direcciones de correo electrónico, fechas de nacimiento, nombres completos y, en algunos casos, ubicaciones— ha sido filtrada y está siendo distribuida gratis en la *dark web*. Según el informe de Business Insider, los datos corresponden a usuarios de 106 países, con un impacto especialmente grave en Estados Unidos (32 millones), Reino Unido (11 millones) y India (6 millones).

El origen de la fuga se remonta a 2019, cuando un fallo en la API de Facebook permitió a actores malintencionados raspar masivamente perfiles públicos. Aunque la red social afirmó haber solucionado la vulnerabilidad en agosto de 2019, los datos extraídos en ese entonces nunca fueron eliminados de los servidores de los hackers. Ahora, dos años después, han resurgido en un foro de piratería, donde cualquier persona con acceso a la *dark web* puede descargarlos sin costo.

La filtración afecta a 1 de cada 10 usuarios activos de Facebook en el mundo, según cifras de 2021. Entre los datos expuestos destacan:

• Números de teléfono vinculados a cuentas (el 98% de los registros incluye este dato).
• Correos electrónicos personales y laborales.
• Fechas de nacimiento, género y estado civil.
• Ubicaciones geográficas (país, ciudad e incluso coordenadas en algunos casos).
• Información de empleo, como empresas y cargos.

Expertos en ciberseguridad advierten que estos datos pueden ser utilizados para ataques de *phishing* ultra personalizados, robos de identidad, extorsiones y hasta suplantación de perfiles en otras plataformas. “Con un número de teléfono y un correo, un criminal puede resetear contraseñas, acceder a cuentas bancarias o incluso simular ser un familiar en una emergencia”, explicó a Reuters Lisa Plaggemeier, analista de la firma de inteligencia digital IntSights.

Facebook, ahora Meta, no ha emitido un comunicado oficial sobre esta nueva ola de distribución de los datos. Sin embargo, en 2021, cuando se conoció la existencia de la base de datos robada, la compañía argumentó que se trataba de información “antigua” y que habían “tomado medidas para protegerla”. No obstante, la realidad es que la data sigue siendo útil para los ciberdelincuentes, ya que detalles como números de teléfono o fechas de nacimiento rara vez cambian.

¿Qué pueden hacer los usuarios afectados? Los expertos recomiendan:

• Activar la autenticación en dos factores en todas las cuentas vinculadas al correo o teléfono expuesto.
• Revisar la configuración de privacidad en Facebook y limitar la visibilidad de datos personales.
• Usar herramientas como Have I Been Pwned para verificar si el correo aparece en filtraciones conocidas.
• Estar alerta a mensajes o llamadas sospechosas que mencionen información personal (posible *phishing*).
• Considerar congelar informes crediticios para evitar aperturas fraudulentas de cuentas.

Esta no es la primera vez que Facebook enfrenta una crisis por manejo de datos. En 2018, el escándalo de Cambridge Analytica reveló que la información de 87 millones de usuarios fue utilizada sin consentimiento para influir en elecciones políticas. La multa impuesta entonces por la FTC (Comisión Federal de Comercio de EE.UU.) ascendió a US$5.000 millones, la mayor en la historia por violaciones a la privacidad. Sin embargo, críticos señalan que la compañía no ha implementado cambios estructurales para evitar nuevas filtraciones.

¿Por qué los datos de 2019 siguen siendo peligrosos hoy? Aunque la filtración ocurrió hace años, la información personal como números de teléfono o correos no caduca. Los ciberdelincuentes pueden combinar estos datos con otras filtraciones recientes para crear perfiles completos de víctimas. “Un criminal no necesita tu contraseña actual si puede engañarte para que se la des”, advirtió Alon Gal, cofundador de la firma de inteligencia Hudson Rock, quien fue el primero en alertar sobre esta fuga en enero de 2021.

La falta de regulaciones globales efectivas sobre protección de datos agrava el problema. Mientras la Unión Europea aplica el GDPR (Reglamento General de Protección de Datos), que permite multas de hasta el 4% de los ingresos anuales de una empresa, en otros países las sanciones son mínimas o inexistentes. Facebook, con ingresos superiores a los US$116.000 millones en 2022, podría asumir multas millonarias sin cambiar sus prácticas, según analistas.

¿Es hora de borrar Facebook? La pregunta resuena entre usuarios y expertos. Mientras algunas voces piden boicots masivos a la plataforma, otros señalan que el verdadero problema es la falta de alternativas descentralizadas que garanticen privacidad. “El modelo de negocio de las redes sociales se basa en la explotación de datos. Hasta que eso cambie, las filtraciones serán inevitables”, sentenció Bruce Schneier, criptógrafo y experto en seguridad.

Lecturas relacionadas:

• Cómo proteger tus redes sociales de hackers: guía paso a paso
• Las 5 filtraciones de datos más grandes de la historia (y qué aprendimos)
• GDPR vs. leyes de privacidad en EE.UU.: ¿quién protege mejor a los usuarios?
• Phishing en 2024: las nuevas tácticas que usan los ciberdelincuentes
• Alternativas a Facebook: redes sociales que priorizan la privacidad

El patrón de impunidad: cómo Facebook (Meta) elude consecuencias por filtraciones recurrentes

La fuga de 500 millones de registros no es un incidente aislado, sino el último eslabón de una cadena de al menos 7 filtraciones masivas desde 2018 que han expuesto datos de más de 1.200 millones de usuarios en total. Lo alarmante no es solo la magnitud, sino el patrón de respuesta corporativa: Meta (antes Facebook) ha pagado multas récord —como los US$5.000 millones por Cambridge Analytica en 2019—, pero ninguna ha alterado su modelo de negocio basado en la recolección agresiva de datos. Un análisis de los casos previos revela cómo la empresa sistemáticamente minimiza el riesgo para los usuarios mientras prioriza la protección de su infraestructura legal.

En abril de 2021, otra base de datos con 533 millones de usuarios (incluyendo 327 millones con números de teléfono) fue publicada en un foro de hackers. La filtración, atribuida a un error en la herramienta “Contact Importer” de Facebook, expuso que la compañía no cifraba adecuadamente los datos almacenados antes de 2019. Aunque Meta argumentó que los datos eran “viejos”, un estudio de Comparitech demostró que el 60% de los números de teléfono seguían activos y vinculados a cuentas de WhatsApp o Instagram (también propiedad de Meta). La FTC de Irlanda, encargada de supervisar el cumplimiento del GDPR en Europa, abrió una investigación, pero dos años después, no hay sanciones públicas. El caso sigue en “evaluación”, un limbo legal que beneficia a la empresa.

La estrategia de Meta ante estas crisis sigue un guion predecible:

• Negación inicial: En 2018, Facebook tardó 5 días en admitir la filtración de Cambridge Analytica, pese a que empleados internos ya la conocían desde 2015.
• Multas como “costo operativo”: La sanción de US$5.000 millones en 2019 representó solo el 8.8% de sus ingresos anuales ese año (US$55.800 millones), sin impacto en su valor bursátil.
• Cambios cosméticos: Tras cada escándalo, Meta anuncia ajustes en su “política de privacidad”, pero no ha eliminado las APIs vulnerables usadas en 2019, según auditorías independientes de CyberNews.
• Silencio selectivo: En esta última fuga, la compañía no ha emitido alertas directas a los usuarios afectados, incumpliendo el artículo 34 del GDPR, que obliga a notificar brechas en 72 horas.

El verdadero riesgo sistemático radica en la interconexión de plataformas. Los datos filtrados en 2019 no solo sirven para ataques de *phishing*, sino que pueden cruzarse con información de WhatsApp, Instagram o Threads (todas propiedad de Meta) para crear perfiles de usuario hiperdetallados. Un informe de Amnistía Internacional (2023) advirtió que Meta acumula más de 2.500 puntos de datos por usuario en promedio, suficiente para predecir patrones de comportamiento con un 92% de precisión, según algoritmos de la empresa.

¿Multas millonarias o un sistema roto?

El caso actual pone a prueba la eficacia del GDPR. Si la Comisión Irlandesa de Protección de Datos (DPC) determina que Meta violó el reglamento, la multa podría superar los US$4.000 millones (4% de sus ingresos globales en 2023). Pero incluso esa cifra sería insuficiente para disuadir a una empresa cuyo modelo depende de la monetización de datos. El precedente más cercano es el de Amazon, multada con US$887 millones en 2021 por publicidad dirigida ilegal en la UE: la compañía recurrió la sanción y, mientras el proceso se alarga, sigue operando sin cambios. Para los usuarios, la pregunta urgente no es si habrá otra filtración —sino cuándo— y si las regulaciones actuales están diseñadas para protegerlos o para dar apariencia de justicia sin alterar el *statu quo*.