Facebook tem falha de segurança na autenticação de dois fatores

O número de celular cadastrado no Facebook deveria ser, de acordo com a própria rede social, um mecanismo de segurança, especialmente quando se opta pela autenticação de dois fatores (2FA). Afinal, a ideia nessa situação é a de reforçar ainda mais a proteção de dados e privacidade. Mas não parece ser bem assim que tudo funciona na prática.Isso porque uma falha de segurança de 2FA da rede social foi descoberta por Jeremy Burge – pesquisador sobre emojis e fundador da biblioteca Emojipedia.

Ele publicou em sua conta no Twitter que “Durante anos, o Facebook alegou que a adição de um número de telefone para 2FA era apenas por segurança. Agora ele pode ser pesquisado e não há como desativá-lo.” De fato, no menu “Sobre” de qualquer usuário da plataforma, é possível configurar quem pode ver ou não seu número de telefone. Entretanto, uma seção não muito óbvia sugere que, sim, alguém pode localizar um contato usando o número de seu celular.

Isso pode ser confirmado ao clicar sobre o menu com ícone de seta, localizado no canto superior direito do Facebook e depois em: “Configurações”> “Privacidade”> “Quem pode procurar você usando o número de telefone fornecido?”. Como é possível notar, há apenas três formas de restringir essa busca: “Público”, “Amigos de amigos” e “Amigos”.

Por padrão, quando alguém acessa esse menu na plataforma, a opção “Público” está ativada. Isso, em conjunto com as demais opções de configuração, é uma completa contradição. Quando alguém define que ninguém pode visualizar seu número de telefone, o que se espera é que essa decisão seja aplicada em toda a rede social.

Como acessar o Facebook usando um app de 2FA

Até que o Facebook se posicione a esse respeito ou talvez resolva a situação, existe a alternativa de deletar o número fornecido à rede social. Se isto for feito, ela automaticamente gera uma mensagem de que não será mais possível carregar arquivos a partir do celular. Fizemos essa exclusão e realizamos um teste inicial, no qual conseguimos publicar uma imagem normalmente usando o dispositivo móvel, mas não podemos garantir como o recurso pode se comportar mais adiante.

Para redobrar a proteção nesse caso, o indicado é usar um aplicativo de autenticação de dois fatores, como o Google Authenticator – iOS ou Android – e o Microsoft Authenticator – disponível aqui para os dois sistemas. Quando essas ferramentas são configuradas, elas exibem um código de seis dígitos – alterado automaticamente por um período –, que é usado para fazer login na rede social. Testamos o app da Microsoft no Android, com o Facebook aberto no PC. Mesmo que operação seja feita em dois dispositivos, ela bem simples. Veja:

1. No Facebook

Vá até o menu de “Segurança e login” do Facebook, que pode ser acessado aqui. Desça até a seção de "Autenticação de fatores” e clique em “Editar”.

Feito isso, clique em “Adicionar um novo aplicativo”.

Logo surgirá um código QR e um código para autenticação.

2. No Microsoft Authenticator

Toque no menu no canto superior direito da tela do celular. Selecione a opção “Adicionar conta”.

Depois toque em “Outra conta”.

Automaticamente, abrirá uma tela para leitura do código QR. Posicione o celular para leitura do código exibido pelo Facebook.

1. No Facebook

Clique no botão “avançar”, conforme abaixo.

No app, surgirá um código de confirmação, que deverá ser digitado nos campos solicitados pelo Facebook; encerre em “Avançar”. Quando for feito um novo login na rede social, outro código deverá ser informado.

A operação deve elevar o nível de segurança em relação ao número do telefone. Mas ainda não é possível afirmar de que forma o Facebook armazena ou não nossos dados, especialmente por Zuckerberg ter o domínio de outras plataformas, como o WhatsApp e Instagram.