Facebook стана жертва на най-голямата Zero day уязвимост в историята си. Тя доведе до компроментирането на над 50 млн. потребителски профила и застрашаването на още 40 млн.
Причина за уязвимостта е функция, създадена с цел по-лесна защита на лични данни – View as… (Виж като). Пробойната в нея позволява кражбата на т.нар. Access token – дигитален ключ за автентикация на потребителя пред сайта (и свързани с него външни услуги).
Според Facebook, функционалността е спряна, а пробойната – елиминирана. Това обаче далеч не означава край на потенциалните заплахи, свързани с проблема. Потенциалните ефекти биха могли да бъдат още:
- Масови фишинг атаки, които се възползват от истерията около уязвимостта и прилъгват потребителите да сменят паролите си. Facebook (и не само те) не изпращат мейли с линкове, в които да влезете, за да смените паролите си. Макар и ненужна стъпка в случая – смяната на паролата е препоръчителна, както и включването на двуфакторната автентикация. Направете го само като влезете във facebook.com и използвате настройките на профила си – не кликайте на линкове, които сте получили по мейл, през чатове или по други канали.
- Кражба на идентичности и от други профили. Макар и да е неясно докъде се простират щетите и дали има злоупотреба с профили на потребители, то по презумпция засегнатите 50 млн. потребителя трябва да считат, че данните им са компроментирани – като проверят логовете от и устройства, къде и кога е влизано в профилите им, чатовете им, списъците с приятели и оторизираните приложения, които имат достъп до Facebook профилите им. При подозрителна активност – изтрийте подозрителните приложения, „приятели“ и т.н.
- Засегнати профили към услуги извън Facebook, но за които потребителите са използвали т.нар. Facebook Login – или автентикация посредством профилите си в социалната мрежа. Кражбата на Access Token означава, че достъп се дава и до всички подобни сайтове и услуги
Тази уязвимост във Facebook доведе до най-мащабните щети в историята на социалната мрежа. Действате с особено внимание, когато става въпрос за новини или действия, свързани със социалната мрежа – особено, докато утихне ехото от текущия проблем.
