Meta pagó una recompensa de $78,000 tras descubrirse una vulnerabilidad crítica en su infraestructura de soporte al cliente que exponía datos sensibles. El hallazgo fue realizado por el investigador independiente Rony K Roy y reportado en enero de 2026, lo que llevó a la implementación de parches en abril sin indicios de explotación maliciosa.
Por qué importa: Esta vulnerabilidad permitía acceder a información privada de usuarios y organizaciones, poniendo en riesgo la privacidad y seguridad de los datos gestionados por Meta.
Lo esencial
- La falla afectaba la plataforma Meta Horizon Managed Solutions y la infraestructura de soporte backend.
- Permitía obtener correos, chats, detalles de casos y archivos enviados a soporte.
- Un atacante podía crear y modificar solicitudes de soporte y añadir suscriptores no autorizados.
Detalles técnicos de la vulnerabilidad
El problema combinaba fallas de control de acceso roto, ausencia de autorización y referencias inseguras directas a objetos (IDOR). Estas debilidades encadenadas permitían a un atacante enumerar números de casos de soporte y acceder a información confidencial compartida con Meta.
Inicialmente, Roy identificó un problema de autorización en Meta Horizon Managed Solutions, una plataforma empresarial para gestionar dispositivos Meta Quest y usuarios, pero luego descubrió que la vulnerabilidad era más amplia y afectaba la infraestructura de soporte.
