Facebook, tracker JavaScript rubano i dati

Nuovi problemi per Facebook sempre in materia di gestione dei dati degli iscritti. Il social network, infatti, starebbe analizzando un rapporto sulla sicurezza che rivela che i dati degli utenti possono essere estratti da tracker JavaScript se questi vengono inseriti in siti web che consentono agli utenti di accedere con le proprie credenziali di Facebook. L’exploit non avrebbe accesso solamente a dati come nome ed indirizzo email ma anche a informazioni come età, sesso, localizzazione ed in alcuni casi pure alla foto del profilo.

In pratica, quando qualcuno utilizza lo strumento classico del Facebook Login, un tracker JavaScript sarebbe in grado tranquillamente di ottenere queste informazioni. Il rapporto, del sito Web Freedom to Tinker del Center for Information Technology Policy di Princeton ha elencato 431 siti che incorporano questi script e non è chiaro che fine facciano questi dati. Un portavoce di Facebook ha detto ad Engadget che questa pratica è una aperta violazione alle condizioni d’utilizzo della piattaforma. Il social network ha fatto sapere di aver iniziato immediatamente ad indagare su questo problema e che nel frattempo ha deciso di porre in essere alcune limitazioni per prevenire sul nascere situazioni analoghe come, per esempio, sospendendo la possibilità di collegare ID utente univoci per applicazioni specifiche a singole pagine del profilo di Facebook.

Il rapporto ha concluso che i problemi dell’esposizione dei dati degli utenti non erano dovuti a un bug nella funzione di accesso di Facebook ma a causa della mancanza di limiti di sicurezza tra gli script proprietari e quelli di terze parti. Per risolvere questa problematica, gli autori del report suggeriscono a Facebook di controllare le proprie API per verificare chi accede ai dati di accesso.

Trattasi di un problema che arriva in un momento molto delicato in cui Facebook sta affrontando gli echi dello scandalo di Cambridge Analityca che avevano posto l’accento su come il social network protegga proprio i dati personali degli iscritti.