Facebook zignorował lukę, która spowodowała wyciek milionów adresów e-mail użytkowników
Ocenzurowany obraz oprogramowania Facebook Email Search v1.0. Ars Technica
Hakerzy używają oprogramowania o nazwie Facebook Email Search v1.0, aby odkryć miliony adresów e-mail użytkowników Facebooka, nawet jeśli są one ustawione jako prywatne. Te dane użytkowników, w połączeniu z 533 milionami numerów telefonów, które wyciekły z Facebooka zaledwie kilka tygodni temu, mogą pomóc hakerom włamać się na konta lub zbudować bazę danych prywatnych informacji użytkowników Facebooka.
Facebook Email Search v1.0 wykorzystuje lukę front-endu w witrynie Facebooka. Automatycznie łączy identyfikatory użytkowników z powiązanymi z nimi adresami e-mail, umożliwiając hakerowi zabezpieczenie około 5 milionów adresów e-mail dziennie. Facebook twierdzi, że na początku tego roku załatał prawie identyczną lukę w zabezpieczeniach, chociaż problem wyraźnie pozostaje nierozwiązany.
W rozmowie z Ars Technica nienazwany badacz twierdzi, że zademonstrował exploit Facebookowi, ale gigant mediów społecznościowych postanowił zignorować ten problem. Facebook powiedział badaczowi, że „nie uważa [luki] za wystarczająco ważnej, aby ją załatać", mimo że jest to wyraźne zagrożenie bezpieczeństwa i naruszenie prywatności użytkowników.
Gotowy na podwójną frajdę? Facebook nie tylko zignorował tę lukę, ale aktywnie zachęca swoich przedstawicieli PR do bagatelizowania i normalizowania naruszeń danych. Wewnętrzny e-mail z Facebooka przypadkowo wysłany do dziennikarzy Data News po wycieku numeru telefonu z 5 kwietnia zawiera następujące informacje:
STRATEGIA DŁUGOTERMINOWA: Zakładając, że liczba prasy będzie nadal spadać, nie planujemy dodatkowych wypowiedzi w tej sprawie. Jednak w dłuższej perspektywie spodziewamy się większej liczby incydentów związanych ze skrobaniem i uważamy, że ważne jest zarówno potraktowanie tego jako szerokiego problemu branżowego, jak i znormalizowanie faktu, że dzieje się to regularnie. Aby to zrobić, zespół zaproponuje kolejny post w ciągu najbliższych kilku tygodni, w którym szerzej omówimy naszą pracę w zakresie przeciwdziałania złomowaniu i zapewnimy większą przejrzystość w zakresie ilości pracy, jaką wykonujemy w tym obszarze. Chociaż może to odzwierciedlać znaczną liczbę działań związanych ze skrobaniem, mamy nadzieję, że pomoże to znormalizować fakt, że ta aktywność jest w toku i uniknąć krytyki, że nie jesteśmy przejrzyści w odniesieniu do poszczególnych incydentów.
Setki milionów użytkowników Facebooka zostało w tym miesiącu skompromitowanych z powodu dwóch oddzielnych luk w zabezpieczeniach witryn. A w obliczu tej „znacznej liczby działań związanych ze skrobaniem” Facebook ma nadzieję znormalizować wycieki i przyznaje, że zrzuty danych „trwają”. W przypadku strony internetowej, która ma obsesję na punkcie gromadzenia danych użytkowników, zaniedbania Facebooka są głównym sygnałem ostrzegawczym.
Facebook stwierdza teraz, że „błędnie zamknął ten raport o nagrodzie za błąd przed skierowaniem go do odpowiedniego zespołu” i że obecnie bada problem. Nie jest jasne, kiedy firma faktycznie załata tę lukę ani ile kont została zaatakowana. Obecny wpływ ujawnionych danych użytkownika również nie jest znany.
Źródło: Ars Technica, Data News