Per anni Facebook ha ospitato un bug che consentiva alle applicazioni di terze parti di accedere alle informazioni personali degli utenti.

A rivelarlo è Symantec, secondo la quale il bug garantiva accesso alle fotografie, ai profili, alla chat e consentiva persino di pubblicare dei messaggi a nome dell'utente, aggirando tutte le impostazioni sulla privacy.

Centinaia di migliaia di applicazioni, sempre secondo Symantec, contenevano la falla che riguardava quelle che utilizzavano un vecchio form per l'autenticazione degli utenti.

«Non c'è modo di sapere quanti token di accesso siano stati sottratti sin dal lancio delle applicazioni, nel 2007» scrive Nishant Doshi di Symantec. «Temiamo che diverse di questi siano ancora disponibili nei file di log dei server di terze parti, o attivamente sfruttate dagli inserzionisti pubblicitari».

Facebook è stata avvisata del problema subito dopo la scoperta del bug, cui avrebbe già posto rimedio ritirando allo stesso tempo il vecchio sistema di autenticazione.

Normalmente i token che permettono l'accesso scadono dopo un certo periodo di tempo, ma ne esistono alcuni che durano indefinitamente.

Per proteggersi dai token ancora "in libertà", che permetterebbero a terze parti di accedere alle informazioni personali contenuti negli account, gli utenti possono iniziare cambiando la password: questa operazione revoca immediatamente tutti i permessi concessi in precedenza.