(cc) Franco Bouly

El hacker Nik Cubrilovic aseguró en su blog que Facebook puede seguir rastreando los sitios web que visitas aun después de hacer logout en el sitio, debido a la manera en que la red social gestiona las cookies.

Cubrilovic realizó varias pruebas, determinando que en lugar de solicitar a los navegadores que las cookies se eliminen cuando un usuario cierra su sesión, Facebook solamente “altera” el estado de estos documentos, incluyendo la cookie que registra tu número de cuenta. Como resultado, si pasas por un sitio que tiene un botón “me gusta” de Facebook o “cualquier otro widget”, tu información puede ser enviada a Facebook. Y si entras a Facebook desde un computador público, esas cookies quedarán guardadas ahí.

Facebook usa las cookies alteradas para identificar y bloquear spammers y phishers, evitar que menores de edad se registren usando fechas de nacimiento distintas, ayudar a gente a recuperar cuentas que fueron hackeadas y otras funciones de seguridad. Sin embargo, también se pueden utilizar para mandar tus datos a la red social.

Para evitar que Facebook te rastree habría que borrar todas las cookies relacionadas con el sitio una vez que cierras tu sesión. Cubrilovic dice que se dio cuenta por primera vez de este problema en noviembre de 2010, momento en que contactó a Facebook para consultar al respecto. La red social nunca respondió.

Según el hacker, Facebook necesita “tratar los temas de privacidad y darle a sus usuarios las herramientas necesarias para administrar su privacidad e implementar políticas claras – no páginas y páginas de documentos legales confusos y un ‘cerrar sesión’ que no significa realmente ‘cerrar sesión’”.

Un empleado de Facebook comentó en el blog de Cubrilovic asegurando que las cookies “no se usan para rastrear. En lugar de eso, usamos las cookies para entregar contenidos especiales (por ejemplo, lo que les gusta a tus amigos en un plugin social), mejorar o mantener nuestro servicios (por ejemplo, medir los clics para optimizar el desempeño), o proteger a nuestros usuarios y nuestro servicio (por ejemplo, protegernos de ataques de denegación de servicio o requerir un segundo factor de autenticación cuando hay un login desde un lugar sospechoso)”.

Pese a que Facebook dice no estar interesado en rastrear a los usuarios, las constantes dudas respecto a la forma en que se maneja la privacidad de los usuarios hace que pocos confíen en la respuesta que entrega la compañía.

Link: Logging out of Facebook is not enough (Nik Cubrilovic vía The Register)