Durante 72 horas, la seguridad de todos los usuarios de Facebook quedó expuesta en la versión beta de la red social, accesible a través de beta.facebook.com. Una grave vulnerabilidad permitía explotar el algoritmo de “¿Has olvidado tu contraseña?” con un ataque de fuerza bruta. Cuando reseteas tu contraseña, Facebook te envía un código de seis dígitos para confirmar que seas tú. Normalmente hay un límite de intentos que impide realizar ataques de fuerza bruta, pero esta vez permitía fallar infinitas veces.
Una vez que daba con el código correcto, Anand Prakash podía acceder a la cuenta de cualquier usuario y ver sus mensajes, sus fotos y cualquier otra información personal que tuviera almacenada en su perfil (incluso tarjetas de crédito). Lo demostró con este screencast de todo el proceso:
Como buen hacker de sombrero blanco, Anand alertó a Facebook de la vulnerabilidad. Contactó con la compañía el 22 de febrero y fue recompensado con 15.000 dólares el 2 de marzo. Suena a poco para un fallo tan desastroso, pero Facebook asegura que el sistema estuvo expuesto durante no más de 72 horas y que el error apareció mientras realizaban cambios en sus sistemas deback end.