Facebook hat eine Schwachstelle ignoriert, die Millionen von Benutzer-E-Mail-Adressen durchsickern ließ
Ein zensiertes Bild der Software Facebook Email Search v1.0. Ars Technica
Hacker verwenden eine Software namens Facebook Email Search v1.0, um die E-Mail-Adressen von Millionen von Facebook-Benutzern aufzudecken, selbst wenn die Adressen auf privat eingestellt sind. Diese Benutzerdaten, gepaart mit den 533 Millionen Telefonnummern, die vor wenigen Wochen von Facebook durchgesickert sind, können Hackern dabei helfen, in Konten einzudringen oder eine Datenbank mit den privaten Informationen von Facebook-Benutzern aufzubauen.
Facebook Email Search v1.0 nutzt eine Front-End-Schwachstelle in der Facebook-Website aus. Es verknüpft automatisch Benutzer-IDs mit der zugehörigen E-Mail-Adresse, sodass ein einzelner Hacker täglich etwa 5 Millionen E-Mail-Adressen sichern kann. Facebook sagt, dass es Anfang dieses Jahres eine fast identische Schwachstelle gepatcht hat, obwohl das Problem eindeutig nicht behoben wurde.
In einem Gespräch mit Ars Technica behauptet ein namentlich nicht genannter Forscher, er habe Facebook den Exploit demonstriert, der Social-Media-Riese habe sich jedoch entschieden, das Problem zu ignorieren. Facebook teilte dem Forscher mit, dass es „[die Schwachstelle] nicht für wichtig genug hält, um gepatcht zu werden“, obwohl es sich um ein klares Sicherheitsrisiko und eine Verletzung der Privatsphäre der Benutzer handelt.
Bereit für einen Doppelschlag? Facebook ignorierte die Schwachstelle nicht nur, sondern ermutigte seine PR-Vertreter aktiv, Datenschutzverletzungen herunterzuspielen und zu normalisieren. Eine interne Facebook-E-Mail, die versehentlich an Journalisten von Data News nach dem Leck der Telefonnummer vom 5. April gesendet wurde, besagt Folgendes:
LANGFRISTIGE STRATEGIE: Unter der Annahme, dass das Pressevolumen weiter zurückgeht, planen wir keine weiteren Stellungnahmen zu diesem Thema. Längerfristig erwarten wir jedoch mehr Scraping-Vorfälle und denken, dass es wichtig ist, dies sowohl als ein breites Branchenproblem zu rahmen als auch die Tatsache zu normalisieren, dass dies regelmäßig aktiv vorkommt. Zu diesem Zweck schlägt das Team in den nächsten Wochen einen Folgebeitrag vor, der umfassender über unsere Anti-Scraping-Arbeit spricht und mehr Transparenz über den Umfang der Arbeit bietet, die wir in diesem Bereich leisten. Obwohl dies möglicherweise ein erhebliches Volumen an Scraping-Aktivitäten widerspiegelt, hoffen wir, dass dies dazu beitragen wird, die Tatsache zu normalisieren, dass diese Aktivitäten andauern, und Kritik zu vermeiden, dass wir bei bestimmten Vorfällen nicht transparent sind.
Die privaten Daten von Hunderten von Millionen Facebook-Nutzern wurden in diesem Monat aufgrund von zwei separaten Sicherheitslücken auf Websites kompromittiert. Und angesichts dieses „erheblichen Volumens an Scraping-Aktivitäten“ hofft Facebook, Lecks zu normalisieren, und gibt zu, dass Datendumps „laufend“ sind. Für eine Website, die davon besessen ist, Benutzerdaten zu sammeln, ist die Fahrlässigkeit von Facebook ein großes Warnsignal.
Facebook gibt nun an, dass es „diesen Bug-Bounty-Bericht fälschlicherweise geschlossen hat, bevor es an das entsprechende Team weitergeleitet wurde“, und dass es derzeit das Problem untersucht. Es ist nicht klar, wann das Unternehmen diese Schwachstelle tatsächlich patchen wird oder wie viele Konten betroffen sind. Die aktuellen Auswirkungen der geleakten Benutzerdaten sind ebenfalls unbekannt.
Quelle: Ars Technica, Data News