Gracias a su truco se podía cambiar las contraseñas de otros usuarios que tuvieran su perfil vinculado al número telefónico.
Entro en la cuenta, pongo una nueva contraseña y ya está. La cuenta es mía
En su blog Whitton contó que había hallado un fallo en el proceso de verificación de dos pasos que permitía recibir mensajes SMS con claves para restablecer contraseñas de cuentas ajenas.
“Entro en la cuenta, pongo una nueva contraseña y ya está. La cuenta es mía”, comentó.
El 'bug' podría haber sido utilizado por 'hackers' para robar datos personales, enviar 'spam' o lanzar ataques de tipo 'phishing'.
Al enterarse, Facebook ajustó el fallo al cabo de cinco días y premió a Whitton con 20.000 dólares, como parte de su programa de incentivo a los 'hackers' benévolos que busquen y denuncien puntos vulnerables en la red, en vez de usarlos en perjuicio de los usuarios.