Facebook transformou a verificação em duas etapas no pior tipo de spam possível

O Facebook tem perdido alguns usuários. Pesquisadores externos informam que a rede social perdeu 2,8 milhões de pessoas com menos de 25 anos apenas nos Estados Unidos, por exemplo. Essas perdas têm levado a rede social a ser mais agressiva em seus esforços para fazer esses usuários voltarem — e a companhia tem usado recursos de segurança para encorajá-los a fazer login novamente em suas contas.

• Como ativar a verificação em dois passos em todas as suas contas 
• Por que você deveria usar um gerenciador de senhas, apesar de tudo

Às vezes, o Facebook enviará emails para usuários notificando-os que estão com problemas para fazer login em suas contas, como a Bloomberg reportou no mês passado. “Apenas clique no botão abaixo e você se logará. Se você não está tentando se logar, nos informe”, diziam os e-mails. Outras vezes, o Facebook pedirá aos usuários um número de telefone para configurar a autenticação em dois fatores (ou verificação em duas etapas) — e começar a enviar spam com notificações via mensagem de texto.

So I signed up for 2 factor auth on Facebook and they used it as an opportunity to spam me notifications. Then they posted my replies on my wall. ?‍♂️ pic.twitter.com/Fy44b07wNg

— Gabriel Lewis ? (@Gabriel__Lewis) 12 de fevereiro de 2018

“Ativei a autenticação em dois fatores no Facebook e eles têm usado como uma oportunidade para enviar mensagens de notificação. Então, eles vão lá e publicam minhas respostas no meu mural”

Para quem não conhece, este tipo de técnica é usada para adicionar uma camada de segurança. Assim, a cada tentativa de login em um dispositivo novo, o Facebook poderá mandar um código via mensagem de texto para que você se logue ou simplesmente fique em alerta, pois alguém pode estar tentando acessar sua conta.

Autenticação em duas etapas como ferramenta de marketing

Eu tenho recebido essas mensagens de texto desde a metade do ano passado, quando eu criei uma nova conta no Facebook e ativei a autenticação em dois fatores. Criei um novo perfil apenas para propósitos profissionais — não curtia a ideia de ter de falar com fontes com minha conta primária do Facebook, onde há fotos do meu tempo de escola e dos meus sobrinhos. No entanto, eu acabei não usando muitas vezes o perfil, deixando-o abandonado por um bom tempo.

A princípio, eu recebi uma ou duas mensagens do Facebook por mês. Porém, com o meu perfil cada vez mais estagnado, eu recebi mais e mais mensagens. Em janeiro, o Facebook me enviou seis mensagens — a maioria sobre atualizações sobre o que meu ex estava postando. Neste mês, eu já recebi quatro mensagens do Facebook. Uma sobre uma publicação de uma antiga estagiária; eu não reconheço o nome dos outros contatos que o Facebook me enviou mensagem relacionadas.

As mensagens são spams particularmente desagradáveis. Em vez de me convencerem a me logar de volta no Facebook, eles me lembram por que tenho evitado a rede. Tem sido chato ver o nome do meu ex aparecendo a todo tempo no meu telefone, e embora minha última estagiária fosse ótima, eu não estou interessada na vida pessoal dela.

O Facebook nunca foi bom em mapear estes tipos de relacionamentos, e esta é a provável razão por que tem perdido usuários — com cada vez mais pessoas se logando, a rede ainda não conseguiu entender como priorizar atualizações das pessoas que são mais próximas a você comparados com aquelas que você não fala a uma década. Para um usuário, isso significa ser abordado com informações que ele não quer receber.

O mais frustrante é que o Facebook tem usado recursos como a autenticação em dois fatores — que dá aos usuários uma proteção adicional para ataques de phishing ou tentativa de roubos de conta — e desvirtuado em uma ferramenta para spam. É uma decisão que prioriza o engajamento sobre a segurança, além de expor possíveis usuários iniciais do recurso a uma experiência que não vale a pena e que, na verdade, pode degradar a segurança do usuário.

“Abusar de um recurso de segurança, como a autenticação em dois fatores, usando-a como uma oportunidade de marketing é pouco inteligente a curto prazo, e a coisa mais insensata que o Facebook poderia fazer a longo prazo”, disse Matthew Green, um especialista em criptografia da Johns Hopkins University, em um tuíte.

Quando o engenheiro de software Gabriel Lewis tuitou sobre suas respostas às mensagens, que se transformaram em posts em seu mural do Facebook, eu decidi tentar o mesmo na minha conta. Ao fazer isso, simplesmente acabei recebendo uma mensagem do Facebook informando que meu último chefe tinha acabado de comentar em um post.

“Abusar de um recurso de segurança, como a autenticação em dois fatores, para enviar spam para usuários é zoado, é a coisa errada a se fazer”, enviei como resposta.

Após um minuto, recebi uma mensagem do meu antigo chefe. “Ei, alguém acessou o seu Facebook?”. Minha reclamação sobre a autenticação de dois fatores apareceu como um comentário nas fotos das férias dele, postadas há duas semanas.

Fui até a página dele para ver o comentário, mas não consegui achar. Quando perguntei a ele onde estava, ele me enviou uma captura de tela. “Eu deletei”, ele me disse. “Era tão maldoso!”. Fiquei com vergonha e fui rapidamente até os comentários das fotos para pedir desculpas.

Se você fornece seu número de telefone para a autenticação de dois fatores do Facebook, você não só vai ter uma camada extra de segurança. A rede também usará seu número para tentar conectar você a potenciais amigos — se alguém que você conhece fizer o upload desses contatos no Facebook, a companhia usará essa informação para sugerir perfis no recurso “Pessoas que você talvez conheça”.

Evitando o inconveniente

Felizmente, caso você receba essas mensagens de texto do Facebook, é possível interromper. Em sua conta, vá no item “Configurações” > “Notificações”. Se você estiver usando autenticação em dois fatores, a opção mensagens de texto estará marcada como padrão, basta desligar. No Brasil, é comum que o recurso esteja desligado, porém, caso você tenha recebido mensagens de texto indesejadas, é só seguir o caminho.

Você também pode usar métodos alternativos de autenticação em dois fatores, como um app gerador de código ou uma chave U2F (Universal 2nd Factor) para verificar sua identidade no Facebook. Esses métodos são mais seguros que códigos enviados via mensagem de texto, que podem ser “roubadas” se um atacante hackear seu chip de telefonia.

Para mudar o método de autenticação em dois fatores, vá em “Configurações” > “Segurança e Login”. Se você quiser remover seu número de telefone, o Facebook vai pedir que você use tanto o gerador de código como uma chave U2F — nesse método, o usuário deve usar um dispositivo USB ou NFC para se logar.

“Nós damos o controle para as pessoas sobre as notificações, incluindo as relacionadas com recursos de segurança como autenticação em dois fatores”, disse um porta-voz do Facebook ao Gizmodo. “Estamos analisando esta situação para ver se conseguimos ajudar as pessoas a administrarem melhor suas comunicações. Além disso, as pessoas podem usar a autenticação em dois fatores usando uma chave U2F e um gerador de código, sem a necessidade de registrar um número telefônico no Facebook.”

Imagem do topo via Getty Images