Încălcarea securității, descoperită de inginerii Facebook (NASDAQ: FB) pe 25 septembrie, a permis atacatorilor să aibă control direct asupra conturilor de utilizator; aproximativ 50 de milioane dintre ei să fie exact.
Cea mai recentă încălcare a securității Facebook
În plus față de cele 50 de milioane de euro, Facebook a mai spus că există încă 40 de milioane de conturi potențial vulnerabile. Toți au spus că compania a deconectat 90 de milioane de conturi pentru a preveni alte pagube.
$config[code] not foundÎntr-o actualizare de securitate, Facebook a recunoscut că atacul a reușit să exploateze interacțiunea complexă a mai multor probleme în codul său. Acest lucru a survenit dintr-o schimbare pe care compania a făcut-o pentru funcția de încărcare video din iulie 2017 care afectează funcția "Vizualizați ca".
Facebook a spus: "Atacatorii nu numai că au nevoie să găsească această vulnerabilitate și să-l folosească pentru a obține un jeton de acces, ci au trebuit să părăsească din acel cont alții să fure mai multe jetoane".
Acest atac nu ar fi putut veni la un moment mai rău pentru Facebook. Compania încearcă să-și îmbunătățească securitatea înainte de viitoarele alegeri la jumătatea perioadei, încercând în același timp să se recupereze din fiasco-ul Cambridge Analytica, în care datele a aproximativ 87 de milioane de utilizatori au fost împărtășite cu o agenție de consultanță politică.
Funcția Vizualizați ca
Funcția View As permite utilizatorilor să vadă cum arată un profil altor persoane.
Atacatorii au reușit să exploateze trei defecte sau bug-uri în funcția "Vezi ca". În aceeași actualizare de securitate, Pedro Canahuati, vicepreședinte de inginerie, securitate și confidențialitate, a enumerat aceste defecte după cum urmează:
- Vizualizați Ca incorect furnizate posibilitatea de a posta un videoclip.
- O nouă versiune a încărcătorului de videoclipuri (interfața care va fi prezentată ca urmare a primei erori), introdusă în iulie 2017, a generat incorect un jeton de acces care avea permisiunile aplicației mobile Facebook.
- Atunci când dispozitivul de încărcare video a apărut ca parte a funcției Vizualizați ca, a generat tokenul de acces NU pentru vizualizator, dar pentru utilizator, spectatorul a căutat.
Facebook a declarat că a dezactivat temporar funcția Vizualizați în timp ce efectuează o examinare de securitate.
Înșelătoare Facebook pentru a emite Tokens de acces
Cu această vulnerabilitate, atacatorii au reușit să-i facă pe Facebook să le emită jetoanele de acces. Acest lucru le-a dat acces la conturile de utilizator ca și cum ar fi fost utilizatorul.
Au avut, de asemenea, acces la serviciile pe care utilizatorul le-ar fi putut înregistra pentru utilizarea Facebook, cum ar fi Airbnb, Spotify, Tinder sau alte aplicații și jocuri.
Facebook a resetat token-urile de acces ale celor 50 de milioane de conturi afectate, precum și alte 40 de milioane de conturi care ar fi putut fi vulnerabile.
Dacă contul dvs. a fost unul dintre cele 90 de milioane afectate de acest incident, vi se va solicita să vă re-conectați pe Facebook și pe orice conturi conectate.
Cine este responsabil?
Într-un apel de conferință (PDF), Guy Rosen, vicepreședinte al Product Management pentru Facebook, a declarat că compania a notificat aplicarea legii și că lucrează împreună cu FBI-ul.
În ceea ce privește cine este responsabil, Rosen continuă să spună că este greu să descopere cine a fost în spatele atacului, adăugând: "S-ar putea să nu știm niciodată".
Imagine: Facebook
3 Comentarii ▼
