| 28 сентября 2018 г. — 10:14 PT
Сразу после подтверждения спорной практики использования телефонных номеров из двухфакторной аутентификации для отправки таргетированной рекламы пользователям Facebook, платформа обнаружила уязвимость, которая оставила скомпрометированными до 50 миллионов аккаунтов.
В сегодняшнем сообщении в блоге Facebook поделился подробностями об уязвимости в функции «Просмотр как», которая позволила хакерам захватывать аккаунты Facebook. «Просмотр как» — это функция, позволяющая пользователям видеть свой профиль глазами других. Вице-президент Facebook по управлению продуктами Гай Розен заявил, что недавно обнаруженная уязвимость позволила злоумышленникам получить токены доступа, которые удерживают пользователей в системе в течение нескольких сессий. Именно эти токены могли позволить злоумышленникам захватить аккаунты Facebook.
Расследование Facebook все еще продолжается. Хотя уязвимость была исправлена, Facebook неясно, использовались ли украденные токены и, если да, то сколько аккаунтов было затронуто. В любом случае, Facebook сбросил токены доступа для 90 миллионов аккаунтов, что означает, что вам, возможно, придется снова войти в систему на платформе.
Вот действия, которые мы уже предприняли. Во-первых, мы исправили уязвимость и уведомили правоохранительные органы.
Во-вторых, мы сбросили токены доступа для почти 50 миллионов аккаунтов, которые, как мы знаем, были затронуты, для защиты их безопасности. Мы также принимаем превентивные меры, сбрасывая токены доступа для еще 40 миллионов аккаунтов, которые были объектом поиска «Просмотр как» за последний год. В результате около 90 миллионов человек теперь должны будут снова войти в Facebook или в любое из своих приложений, использующих вход через Facebook. После повторного входа пользователи получат уведомление в верхней части своей ленты новостей с объяснением произошедшего.
Уязвимость возникла из-за изменений, внесенных Facebook в функцию загрузки видео более года назад.
Эта атака использовала сложное взаимодействие нескольких уязвимостей в нашем коде. Она началась с изменения, внесенного нами в функцию загрузки видео в июле 2017 года, которое повлияло на «Просмотр как». Злоумышленникам нужно было не только найти эту уязвимость и использовать ее для получения токена доступа, но и затем перейти от этого аккаунта к другим, чтобы украсть больше токенов.
Наконец, в обновлении безопасности говорится, что пользователям не нужно менять пароли, и заканчивается кратким извинением:
Конфиденциальность и безопасность людей невероятно важны, и мы сожалеем, что это произошло. Именно поэтому мы предприняли немедленные действия для обеспечения безопасности этих аккаунтов и сообщили пользователям о произошедшем. Нет никакой необходимости кому-либо менять свои пароли.
Если эта последняя утечка заставляет вас задуматься об отказе от использования Facebook, ознакомьтесь с нашим руководством по деактивации или удалении вашего аккаунта.
Обновление: Комиссар FTC Рохит Чопра написал в Твиттере по поводу новостей, заявив: «Я хочу ответов».
I want answers. https://t.co/kZSttt4fmF
— Rohit Chopra (@chopracfpb) September 28, 2018
Facebook поделился дополнительными подробностями: хакеры получили бы доступ к сторонним приложениям через скомпрометированные аккаунты.
uh this is bad: Facebook telling reporters now that this hack disclosed earlier today would have let hacker login to third party apps through a compromised Facebook account
so basically a Cambridge Analytica redux situation we’re potentially looking at
— Alex Heath (@alexeheath) September 28, 2018
Смотрите 9to5Mac на YouTube для получения дополнительных новостей об Apple: