Um problema de segurança no MySpace tem potencial para arruinar os esforços legais para rastrear usuários maliciosos na rede social.

Um número crescente de perfis do MySpace contém algumas linhas de código que automaticamente fazem com que usuários assinem o canal de vídeo, afirmou Chris Boyd, diretor de pesquisa de segurança para a FaceTime Communication.

Após o visitante ter sido acrescentado, a pessoa responsável pelo perfil pode ver quem o visitou. Quem não usa o MySpace com freqüência pode achar que o problema não é tão grave, afirma ele.

Mas crackers mantêm dezenas de contas falsas na rede social, usadas para muitos fins maliciosos, como envio de spams ou tentativas de vandalizar outros perfis, continua ele.

Os crackers estão usando cada truque na cartilha para saber quem está os observando, afirma Boyd. Isto é ruim para autoridades, que chegam a investir semanas em "batidas digitais" observando determinados perfis como parte de investigações atrás de pedófilos.

Crackers vêm colocando o código em suas páginas desde outubro de 2007. O MySpace foi notificado do problema no final de março, mas ainda não conseguiu corrigi-lo, ainda que Boyd diga que a companhia lhe enviou um e-mail classificando o problema como "erro de sistema".

O código não diz à pessoa responsável pelo perfil quantas vezes determinado visitante passou por ali, mas, em combinação com um tracker de IP, o cracker pode ter um detalhamento maior dos visitantes.

O MySpace proibi ferramentas como trackers de IP, que podem indicar qual a área geográfica onde o visitante está. Muitos dos trackers oferecidos em fóruns simplesmente não funcionam, diz ele. Ainda assim, usuários estão encontrando maneira de driblar a vigilância.

Existe uma série de defesas contra o problema. Se você é adicionado automaticamente ao canal de vídeo de alguém, pode simplesmente se descadastrar e evitar voltar ao perfil até que o MySpace corrija o problema.

Outra defesa é adicionar a URL "vids.myspace.com" ao arquivo "hosts", documento do sistema operacional que liga os domínios aos sites. O arquivo pode ser configurado para bloquear qualquer domínio que o usuário especifique.