El pasado mes se conoció la noticia de una colosal brecha de seguridad en Facebook que había dejado expuestos los números de teléfono, nombres y fechas de nacimiento de 533 millones de usuarios en 106 países. Esta brecha fue la consecuencia de un fallo de seguridad en una herramienta desarrollada por Facebook que servía para buscar usuarios a partir de números de teléfono. Este fallo permitía que terceras partes pudiesen descargarse estos datos de manera masiva y eso fue lo que ocurrió. Los datos han acabado siendo hechos públicos en un fórum de hackers.

Por lo tanto, la falta de unas medidas de seguridad efectivas por parte de Facebook derivó en una brecha de seguridad masiva.

Sin embargo, Facebook no ha notificado esta brecha de seguridad ni a las autoridades ni a los usuarios. La red social sostiene que la brecha de seguridad fue anterior a la entrada en vigor del RGPD y que, como el problema ya ha sido solucionado, no está obligada a notificar nada a nadie.

La autoridad de protección de datos de Irlanda, lugar en el que se encuentra la sede europea de Facebook, se ha enterado de la brecha por la prensa. A pesar de ello, la autoridad y Facebook dicen estar colaborando para esclarecer los detalles de la brecha de seguridad y si realmente ocurrieron antes de que entrase en vigor el marco jurídico actual.

Facebook alega, además, que los datos que se han filtrado no eran datos privados. Según la red social, el único problema es que esos datos se han obtenido de manera masiva, pero que, realmente, esos datos estaban abiertos para que cualquier pudiera consultarlos. Esto no hace más que reafirmar la importancia de configurar los ajustes de seguridad de Facebook para que datos tan sensibles como nuestra fecha de nacimiento no estén a disposición de cualquiera.

El caso pone también de manifiesto la creciente importancia de los números de teléfono como datos identificadores de un usuario. Al tratarse de un dato que cambia poco y que permite una identificación inequívoca, cada vez más plataformas lo usan. El número de teléfono es también una de las bases de la identificación de doble paso, un método de seguridad cada vez más extendido en ámbitos como la administración pública o la banca.

Facebook no ha informado a ninguna de las personas afectadas por la brecha y no tiene planes para hacerlo.

Queda abierta la posibilidad de una posible denuncia colectiva de afectados por la brecha o que la presión sobre la autoridad irlandesa le lleve a iniciar un procedimiento.

Os dejamos aquí un vídeo de la AEPD sobre cómo configurar los ajustes de privacidad de Facebook.