Hola.
Igual que dcapeletti, a mi no me preocupan las fallas de seguridad de tales
sitos porque no los uso.
>queria hacer un video y subirlo a la plataforma youtube... pero temo a
represalias o a que todo se vuelva loco que me recomiendan hacer?
>Contar el metodo o guardarlo en secreto?
Puedes divulgar públicamente la falla que encontraste de forma anónima
usando por ejemplo Tor (se puede obtener mucha información con un buscador,
así que no describiré más aquí). Si bien tienes la opción de reportar la
falla en forma privada a los encargados del sitio, no estás obligado a
hacerlo, y me parece que es mejor si lo divulgas públicamente (eso es
divulgación completa o full disclosure en inglés). Hay algo de información
relevante en este artículo en Wikipedia en inglés. Nota en especial que los
desarrolladores de software privativo quienes abusan de los usuarios y solo
se preocupan por su rentabilidad atacan a la práctica de divulgación
completa; la divulgación cerrada (solo al desarrollador) está en sus
mejores intereses, pues así pueden actuar o no actuar frente a las
vulnerabilidades de acuerdo a sus intereses (y usualmente, en contra de los
usuarios).
No temas a “que todo se vuelva loco” si divulgas el error públicamente,
pues las fallas de seguridad son algo cotidiano en informática, y cualquier
organización que opere un sitio web debe estar preparada para lidiar con
eso; supongo que ese será el caso con Facebook (Pero no me consta, pues no
investigo al respecto. Facebook no me interesa). Hecha un vistazo por ejemplo
a lista de avisos de seguridad de Debian.
Lo que te recomiendo es que documentes el error de una forma seria (no
alarmista) y pública, anónimamente con Tor si te parece más apropiado. El
tono debe mostrar intención de alertar sobre un problema, en vez de ayudar a
craquear. Toma la oportunidad para hablar sobre cómo Facebook es una medio
centralizado que hay que evitar y sobre cómo es muy peligroso que la gente
confíe cada ves más en Facebook y otros servicios centralizados como
mediador de la comunicación entre particulares.
Toma en cuenta que es posible que la vulnerabilidad ya haya sido arreglada, y
antes de divulgarla, comprueba que realmente es posible realizar el ataque
(considera abrir una cuenta propia para tal propósito en vez de atacar la de
alguien más).
