Możliwe było przejęcie aż 90 milionów kont na Facebooku

Facebook poinformował o naruszeniu bezpieczeństwa, które skutkowało przejęciem kont użytkowników. Tym razem nie była to „potencjalna luka”, ale podatność przez którą atakujący rzeczywiście przejmowali konta:

But it’s clear that attackers exploited a vulnerability in Facebook’s code that impacted “View As” (…) This allowed them to steal Facebook access tokens which they could then use to take over people’s accounts. Access tokens are the equivalent of digital keys that keep people logged in to Facebook so they don’t need to re-enter their password every time they use the app.

Podatność istniała od lipca 2017 roku, a Facebook mówi nawet o90 milionach potencjalnie dotkniętych problemem kont:

Second, we have reset the access tokens of the almost 50 million accounts we know were affected to protect their security. We’re also taking the precautionary step of resetting access tokens for another 40 million accounts that have been subject to a “View As” look-up in the last year.

Facebook zgłosił sprawę do organów ścigania, a także powiadomił urząd odpowiedzialny za zgłoszenia naruszeń w ramach RODO/GDPR.

Wg samej firmy – sprawa jest rozwojowa i całe śledztwo / analiza podatności / ataku dopiero się rozpoczęło.

–ms