Злоумышленники использовали функцию «Просмотр как», которая позволяет пользователям просматривать свою страницу на Facebook так, как кто-то другой. Злоумышленники смогли использовать его для захвата учетных записей и использовать их точно так же, как если бы они были владельцами учетных записей.
Facebook ( FB ) сказал, что не знает, кем были нападавшие или где они находились. Он также сказал, что он уже поставил этот вопрос перед ФБР и другим правоохранительным органам, а также законодателями и регулирующими органами. Он также проинформировал Ирландскую комиссию по защите данных об этом нарушении, что необходимо в соответствии с требованиями европейского законодательства о ВВП . Комиссия заявила, что получила уведомление, но выразила озабоченность по поводу ее времени и отсутствия подробностей.
Более 90 миллионов пользователей были принудительно выведены из своих аккаунтов Facebook и должны были вернуться в пятницу по соображениям безопасности. Пользователям не нужно принимать какие-либо дополнительные меры предосторожности или сбросить свои пароли, сказал Facebook. Все зарегистрированные пользователи получат уведомление о проблеме из Facebook.
Компания заявляет, что не знает, были ли затронутые аккаунты каким-либо образом использованы или была ли доступна какая-либо информация пользователя. Он не определил, были ли нацелены какие-либо конкретные местоположения или учетные записи. Он отключил функцию «Просмотр как», которую злоумышленники использовали во время атаки.
Facebook говорит, что уязвимость является результатом трех различных ошибок и первоначально появилась в июле 2017 года, когда компания внесла изменения в функцию загрузки видео. Компания впервые обнаружила необычную активность - всплеск доступа пользователей к сайту - 16 сентября 2018 года. Она начала расследование и раскрыла эту атаку во вторник на этой неделе. В среду он уведомил правоохранительные органы, а в четверг вечером он исправил уязвимость и начал сбрасывать токены входа, согласно информации Facebook.
Нападавшие украли Facebook-токены доступа, которые заставляют человека войти в свою учетную запись Facebook в течение длительных периодов времени, поэтому им не нужно продолжать подписку. Facebook сбросит все 50 миллионов токенов, а также токены для дополнительных 40 миллионов человек который использовал функцию «Посмотреть как» в прошлом году как «предупредительный шаг».
«Реальность здесь заключается в том, что мы сталкиваемся с постоянными атаками со стороны людей, которые хотят захватить счета или украсть информацию ... нам нужно сделать больше, чтобы это не произошло в первую очередь», - сказал генеральный директор Марк Цукерберг во время разговора с журналистами после объявления.
Объявление является последней проблемой для компании, которая в последние годы боролась с нарушениями безопасности, вопросами конфиденциальности и дезинформацией . Facebook говорит, что он вкладывает значительные средства в обеспечение безопасности и увеличивает число людей, работающих в сфере безопасности, с 10 000 до 20 000 человек.
«Безопасность - это гонка вооружений, и мы продолжаем совершенствовать нашу оборону», - сказал Цукерберг.