Facebook jätti huomiotta haavoittuvuuden, joka vuoti miljoonia käyttäjien sähköpostiosoitteita
Sensuroitu kuva Facebook Email Search v1.0 -ohjelmistosta. Ars Technica
Hakkerit käyttävät ohjelmistoa nimeltä Facebook Email Search v1.0 paljastaakseen miljoonien Facebook-käyttäjien sähköpostiosoitteet, vaikka osoitteet olisi asetettu yksityisiksi. Nämä käyttäjätiedot yhdessä Facebookista vain muutama viikko sitten vuotaneiden 533 miljoonan puhelinnumeron kanssa voivat auttaa hakkereita murtautumaan tileille tai rakentamaan tietokannan Facebookin käyttäjien yksityisistä tiedoista.
Facebookin sähköpostihaku v1.0 hyödyntää Facebookin verkkosivuston käyttöliittymän haavoittuvuutta. Se linkittää käyttäjätunnukset automaattisesti niihin liittyviin sähköpostiosoitteisiin, jolloin yksi hakkeri voi suojata noin 5 miljoonaa sähköpostiosoitetta päivässä. Facebook kertoo korjanneensa lähes identtisen haavoittuvuuden aiemmin tänä vuonna, vaikka ongelma on selvästikin korjaamaton.
Ars Technican kanssa käydyssä keskustelussa nimeämätön tutkija väittää osoittaneensa hyväksikäytön Facebookille, mutta sosiaalisen median jättiläinen päätti jättää asian huomiotta. Facebook kertoi tutkijalle, että se "ei pidä [haavoittuvuutta] tarpeeksi tärkeänä korjattavaksi", huolimatta siitä, että se on selvä turvallisuusriski ja loukkaa käyttäjien yksityisyyttä.
Oletko valmis kaksinkertaiseen huijaukseen? Facebook ei vain jättänyt huomiotta haavoittuvuutta, vaan myös rohkaisee aktiivisesti PR-edustajiaan vähättelemään ja normalisoimaan tietomurtoja. Data Newsin toimittajille vahingossa lähetetty Facebookin sisäinen sähköposti 5 huhtikuuta tapahtuneen puhelinnumerovuodon jälkeen kertoo seuraavaa:
PITKÄN AIKAVÄLIN STRATEGIA: Olettaen, että lehdistön määrä jatkaa laskuaan, emme suunnittele lisälausuntoja tästä aiheesta. Pidemmällä aikavälillä odotamme kuitenkin enemmän kaapivia tapauksia ja katsomme, että on tärkeää muotoilla tämä laajaksi alan ongelmaksi ja normalisoida se tosiasia, että tätä tapahtuu aktiivisesti säännöllisesti. Tätä varten tiimi ehdottaa seuraavien viikkojen aikana postausta, jossa puhutaan laajemmin kaapimisen estotyöstämme ja saadaan lisää läpinäkyvyyttä tällä alalla tekemämme työn määrästä. Vaikka tämä saattaa heijastaa huomattavaa määrää kaavinta, toivomme, että tämä auttaa normalisoimaan sen tosiasian, että tämä toiminta on käynnissä, ja välttämään kritiikkiä, jonka mukaan emme ole avoimia tietyistä tapauksista.
Satojen miljoonien Facebook-käyttäjien yksityiset tietonsa ovat vaarantuneet tässä kuussa kahden erillisen verkkosivuston haavoittuvuuden vuoksi. Ja tämän "merkittävän kaavintatoiminnan määrän" edessä Facebook toivoo normalisoivansa vuodot ja myöntää, että datavedot ovat "jatkuvat". Verkkosivustolle, joka on pakkomielle käyttäjätietojen keräämisestä, Facebookin huolimattomuus on suuri punainen lippu.
Facebook ilmoittaa nyt, että se "sulki virheellisesti tämän virhepalkkioraportin ennen reitittämistä asianmukaiselle tiimille" ja että se tutkii parhaillaan ongelmaa. Ei ole selvää, milloin yritys todella korjaa tämän haavoittuvuuden tai kuinka monta tiliä se on vaikuttanut. Myöskään vuotaneiden käyttäjätietojen nykyinen vaikutus ei ole tiedossa.
Lähde: Ars Technica, Data News