Ver fotos de cualquier usuario de Facebook

Un pequeño “agujero” de seguridad (o puede que no) permite ver las imágenes de cualquier usuario de Facebook, aunque éste no sea nuestro amigo y ni siquiera sepamos quién es. Una situación un poco compleja y difícil de de explicar, pero lo voy a intentar.

Por qué es posible

Al buscar a una persona en Facebook no podemos ver sus fotografías directamente si no somos amigos, pero mediante pocas líneas de código se puede obtener un array (algo parecido a una lista) con todas sus imágenes, que podemos mostrar donde queramos.

Aunque pueda parecerlo, en realidad, no se trata de un “error” de programación en sí, pues imagino que esta situación se ha podido producir porque es la única manera de permitir que, por ejemplo, un usuario pueda mostrar sus imágenes en su sitio web mediante algún widget. Pero… ¿qué derecho tiene alguien que no es nuestro amigo a ver nuestras fotos si nosotros no le hemos dado permiso para ello? ¿De qué sirve, entonces, tener una lista de amigos?

Demostración

Ya ha aparecido el primer sitio web en explotar este “error”. Su nombre es FBackUP y permite visualizar las imágenes de cualquier persona que esté en Facebook con sólo escribir su nombre exacto o bien escribir su identificador, que se puede obtener mediante la URL que apunta hacia su perfil.

Enlace | FBackUP

Cómo evitar que vean tus fotos

Por defecto, en la configuración de privacidad de Facebook, las imágenes aparecen por defecto aptas para “Todos”. Así permitimos que todos puedan verlas, pero en realidad si no son nuestros amigos no tienen ningún enlace directo para verlas. Lo único que hay que hacer es ir a las opciones de privacidad, mediante la barra superior:

Luego, en “Perfil”, en la opción “Fotos en las que se te ha etiquetado”, hay que seleccionar “Sólo amigos” o “Amigos de mis amigos”, según se prefiera.

Conclusiones y responsabilidades

La preferencia “Todos” no debería existir para la opción “Fotos en las que se te ha etiquetado”, pues en realidad cuando buscamos a una persona que no conocemos de nada, y tiene las fotos aptas para todos, no disponemos de ningún enlace directo para verlas (o, al menos, yo he estado un rato buscando y no lo he encontrado).

Aunque en realidad Facebook tiene poca parte de culpa, no consigo entender cómo se puede exponer a los usuarios a riesgos de esta magnitud, poniendo por defecto la opción “Todos” al registrarse. En definitiva, una situación un tanto extraña de la que será difícil sacar algo en claro, pero está claro que existe, y se puede usar. Al fin y al cabo, el usuario ha decidido compartir las imágenes con “Todos”…