Facebook проигнорировал уязвимость, которая привела к утечке адресов электронной почты миллионов пользователей
Цензурированное изображение программного обеспечения Facebook Email Search v1.0. Арс Техника
Хакеры используют программное обеспечение под названием Facebook Email Search v1.0, чтобы раскрыть адреса электронной почты миллионов пользователей Facebook, даже если эти адреса установлены как частные. Эти пользовательские данные в сочетании с 533 миллионами телефонных номеров, украденными из Facebook всего несколько недель назад, могут помочь хакерам взломать учетные записи или создать базу данных с личной информацией пользователей Facebook.
Facebook Email Search v1.0 использует уязвимость внешнего интерфейса на веб-сайте Facebook. Он автоматически связывает идентификаторы пользователей со связанными с ними адресами электронной почты, позволяя одному хакеру защищать около 5 миллионов адресов электронной почты в день. Facebook утверждает, что ранее в этом году он исправил почти идентичную уязвимость, хотя проблема явно остается нерешенной.
В разговоре с Ars Technica неназванный исследователь утверждает, что продемонстрировал эксплойт Facebook, но гигант социальных сетей предпочел проигнорировать проблему. Facebook сообщил исследователю, что «не считает [уязвимость] достаточно важной, чтобы ее можно было исправить», несмотря на то, что это явная угроза безопасности и нарушение конфиденциальности пользователей.
Готовы к двойному удару? Facebook не только проигнорировал уязвимость, но и активно поощряет своих представителей по связям с общественностью преуменьшать и нормализовать утечку данных. Во внутреннем электронном письме Facebook, случайно отправленном журналистам Data News после утечки телефонного номера 5 апреля, говорится следующее:
ДОЛГОСРОЧНАЯ СТРАТЕГИЯ: Предполагая, что объем прессы продолжит снижаться, мы не планируем дополнительных заявлений по этому вопросу. Однако в долгосрочной перспективе мы ожидаем больше инцидентов со скрейпингом и считаем важным рассматривать это как проблему широкой отрасли и нормализовать тот факт, что это активно происходит регулярно. Для этого команда предлагает в ближайшие несколько недель последующую публикацию, в которой более подробно рассказывается о нашей работе по борьбе с парсингом и обеспечивается большая прозрачность в отношении объема работы, которую мы выполняем в этой области. Хотя это может отражать значительный объем операций по извлечению данных, мы надеемся, что это поможет нормализовать тот факт, что эта деятельность продолжается, и избежать критики в отношении того, что мы не прозрачны в отношении конкретных инцидентов.
В этом месяце личная информация сотен миллионов пользователей Facebook была скомпрометирована из-за двух отдельных уязвимостей на веб-сайтах. И перед лицом этого «значительного объема скрейпинга» Facebook надеется нормализовать утечки и признает, что дампы данных «продолжаются». Для веб-сайта, одержимого сбором пользовательских данных, небрежность Facebook — серьезный красный флаг.
Теперь Facebook заявляет, что он «ошибочно закрыл этот отчет об ошибке, прежде чем передать его соответствующей команде», и что в настоящее время он исследует проблему. Пока неясно, когда компания на самом деле исправит эту уязвимость или сколько учетных записей было затронуто. Текущее влияние утечки пользовательских данных также неизвестно.
Источник: Ars Technica, Новости данных