El vicepresidente de gestión de producto de la red social, Guy Rosen, explicó en una rueda de prensa telefónica que los datos robados a 15 millones de usuarios fueron el nombre y la información de contacto (correo electrónico, número de teléfono o ambos).

A los otros 14 millones de usuarios les fueron sustraídos, además, datos que tuviesen en su perfil de Facebook, como su nombre, sexo, idioma, estado civil, lugar de residencia, fecha de nacimiento, empleo, educación, etc.

Los piratas informáticos también se hicieron con información relacionada con los últimos 10 sitios que esos internautas habían visitado en la red social, así como sus últimas 15 búsquedas, los dispositivos desde los que se conectan a Facebook y las páginas a que siguen.

Hubo otro millón de usuarios que se vieron afectados por el ataque, ya que los piratas lograron las claves de acceso a sus cuentas, pero no les robaron datos.

De este modo, el total de afectados queda en 30 millones, lo que supone 20 millones menos de los 50 que la compañía apuntó cuando informó del ataque por primera vez hace dos semanas.

Rosen explicó que están colaborando con el Buró Federal de Investigación (FBI) para hallar a los responsables, pero rechazó ofrecer más detalles por petición expresa del cuerpo policial.

La compañía con sede en Menlo Park (California, EEUU) detectó un repunte no habitual de actividad el 14 de septiembre, por lo que inició una investigación que encontró una vulnerabilidad en el código de software y determinó que se había sufrido un ataque.

Esta vulnerabilidad, que existía desde julio de 2017, afectaba al modo "Ver como", una habilidad que permite a los usuarios ver su perfil como si fuesen otra gente.

Entre las medidas adoptadas por la compañía para responder al ataque, se procedió a la desconexión inmediata de todas aquellas cuentas afectadas que tenían activada la opción de conectarse a Facebook sin necesidad de introducir el nombre de usuario y la contraseña.

Facebook aseguró que "durante los próximos días" enviará mensajes a cada uno de los afectados para explicarles qué tipo de información les ha sido sustraída.