Los .docx tienen la particularidad de ser ficheros comprimidos cuya información interna puede ser modificada si se descomprimen. Por eso Ramadán cogió un .docx cualquiera y lo descomprimió (utilizando la herramienta 7zip) con la intención de acceder a su código y modificarlo. Concretamente, cambió una línea de código para ordenar a ese documento de Word que siempre, estuviera donde estuviera, se comunicara con un fichero gemelo alojado en el ordenador del investigador.
A pesar de su buena idea, Ramadán tenía en cuenta que las cosas podían fallar. Era probable que, aunque enviara el documento modificado al servidor, el fichero acabara por no comunicarse con el que quedaba en su ordenador.
Por eso, antes de cargar el Word manipulado en el servidor de Facebook, comprobó si era posible obtener algún resultado subiendo ese documento a cualquier otro servidor (concretamente a uno programado por él mismo para la ocasión). El resultado era el esperado: varios minutos después de hacer la prueba, el servidor externo que acababa de crear se intentaba comunicar con su ordenador, así que el de Facebook también lo haría, y efectivamente lo hizo.
Aunque actualmente el fallo ya está reparado – y Ramadán se ha embolsado una recompensa de unos 5.300 euros – su existencia demuestra que comprometer las cuentas de Facebook es más sencillo de lo que parece.
