การฝ่าฝืนความปลอดภัยซึ่งวิศวกรค้นพบโดย Facebook (NASDAQ: FB) เมื่อวันที่ 25 กันยายนอนุญาตให้ผู้โจมตีทำการควบคุมบัญชีผู้ใช้โดยตรง ประมาณ 50 ล้านของพวกเขาแน่นอน
การฝ่าฝืนความปลอดภัยล่าสุดของ Facebook
นอกเหนือจาก 50 ล้านแล้ว Facebook ยังกล่าวอีกว่ามีอีก 40 ล้านบัญชีซึ่งอาจมีความเสี่ยง ทั้งหมดกล่าวว่า บริษัท ออกจากระบบ 90 ล้านบัญชีเพื่อป้องกันความเสียหายเพิ่มเติม
$config[code] not foundในการอัปเดตความปลอดภัย Facebook ยอมรับว่าการโจมตีนั้นสามารถใช้ประโยชน์จากการโต้ตอบที่ซับซ้อนของปัญหาต่าง ๆ ในรหัสของมัน สิ่งนี้เกิดขึ้นจากการเปลี่ยนแปลงที่ บริษัท ทำกับคุณสมบัติการอัปโหลดวิดีโอในเดือนกรกฎาคมปี 2560 ซึ่งส่งผลต่อคุณลักษณะ“ ดูเป็น”
Facebook กล่าวว่า“ ผู้โจมตีไม่เพียงต้องการค้นหาช่องโหว่นี้และใช้มันเพื่อเข้าถึงโทเค็นการเข้าถึงจากนั้นพวกเขาต้องเปลี่ยนจากบัญชีดังกล่าวไปยังผู้อื่นเพื่อขโมยโทเค็นเพิ่มเติม”
การโจมตีครั้งนี้ไม่สามารถทำได้ในเวลาที่เลวร้ายยิ่งสำหรับ Facebook บริษัท กำลังพยายามรักษาความปลอดภัยก่อนที่จะมีการเลือกตั้งในระยะกลางขณะเดียวกันก็พยายามที่จะกู้คืนข้อมูลจาก Cambridge Analytica fiasco ซึ่งข้อมูลจากผู้ใช้ประมาณ 87 ล้านคนถูกแบ่งปันกับหน่วยงานให้คำปรึกษาทางการเมือง
ดูเป็นคุณสมบัติ
คุณลักษณะดูเป็นช่วยให้ผู้ใช้สามารถดูว่าโปรไฟล์มีลักษณะอย่างไรต่อบุคคลอื่น
ผู้โจมตีสามารถใช้ประโยชน์จากข้อบกพร่องหรือข้อบกพร่องสามข้อในคุณสมบัติ“ ดูเป็น” ในการปรับปรุงความปลอดภัยเดียวกัน Pedro Canahuati รองประธานฝ่ายวิศวกรรมความปลอดภัยและความเป็นส่วนตัวระบุข้อบกพร่องดังต่อไปนี้:
- ดูเนื่องจากเปิดโอกาสให้โพสต์วิดีโอไม่ถูกต้อง
- เวอร์ชันใหม่ของตัวอัปโหลดวิดีโอ (อินเทอร์เฟซที่จะนำเสนอเป็นผลมาจากข้อผิดพลาดแรก) ที่นำมาใช้ในเดือนกรกฎาคม 2017 สร้างโทเค็นการเข้าถึงที่ไม่ถูกต้องซึ่งได้รับอนุญาตจากแอพมือถือ Facebook
- เมื่อผู้อัปโหลดวิดีโอปรากฏเป็นส่วนหนึ่งของมุมมองเป็นมันจะสร้างโทเค็นการเข้าถึงไม่ใช่สำหรับผู้ดู แต่สำหรับผู้ใช้ที่ผู้ดูกำลังดูอยู่
Facebook กล่าวว่าได้ปิดคุณสมบัติดูเป็นชั่วคราวในขณะที่ดำเนินการตรวจสอบความปลอดภัย
การหลอกลวง Facebook เพื่อออกโทเค็นการเข้าถึง
ด้วยช่องโหว่นี้ผู้โจมตีจึงสามารถหลอกให้ Facebook เปิดเผยการเข้าถึงโทเค็นได้ นี่ทำให้พวกเขาเข้าถึงบัญชีผู้ใช้ราวกับว่าพวกเขาเป็นผู้ใช้
พวกเขายังสามารถเข้าถึงบริการที่ผู้ใช้อาจลงทะเบียนเพื่อใช้ Facebook เช่น Airbnb, Spotify, Tinder หรือแอปและเกมอื่น ๆ
Facebook ได้รีเซ็ตโทเค็นการเข้าถึงของ 50 ล้านบัญชีที่ได้รับผลกระทบเช่นเดียวกับอีก 40 ล้านบัญชีที่อาจเสี่ยง
หากบัญชีของคุณเป็นหนึ่งใน 90 ล้านที่ได้รับผลกระทบจากเหตุการณ์นี้คุณจะได้รับแจ้งให้ลงชื่อเข้าใช้ Facebook และบัญชีที่เชื่อมโยงอีกครั้ง
ใครเป็นผู้รับผิดชอบ
ในการประชุมทางโทรศัพท์ (PDF) Guy Rosen รองประธานฝ่ายการจัดการผลิตภัณฑ์สำหรับ Facebook กล่าวว่า บริษัท ได้แจ้งการบังคับใช้กฎหมายและทำงานร่วมกับ FBI
สำหรับใครที่มีความรับผิดชอบ Rosen กล่าวต่อไปว่าเป็นเรื่องยากที่จะค้นพบว่าใครอยู่เบื้องหลังการโจมตีโดยเพิ่ม“ เราอาจไม่มีทางรู้”
ภาพ: Facebook
3 ความคิดเห็น▼
