Утечка токенов доступа из Facebook могла затронуть 90 млн человек

Социальная сеть Facebook объявила об утечке, которая могла затронуть 90 млн пользователей, в числе пострадавших оказался основатель компании Марк Цукерберг, пишет Threatpost.

Злоумышленники похитили 50 млн токенов доступа, которые можно было использовать в том числе на сторонних сайтах, позволяющих авторизоваться через Facebook. Еще в 40 млн случаев в отношении пользователей применялась уязвимая функция. В данный момент для всех, кого затронул инцидент, созданы новые токены.

Согласно сообщению в корпоративном блоге, специалисты Facebook обнаружили утечку 25 сентября и в скором времени закрыли связанные с ней бреши. Причиной уязвимости стала функция «Посмотреть как…» («View as…»), позволяющая пользователям проверить, как выглядит их профиль для определенных групп друзей.

«В этой атаке эксплуатировалось сложное взаимодействие между несколькими проблемными местами в нашем коде, — пояснил Гай Розен, вице-президент отдела менеджмента продуктов Facebook. — Оно уходит корнями в изменения, которые мы внесли в процесс загрузки видео в июле 2017-го, а те затронули [функцию] «Посмотреть как…». Взломщики не только нашли эту уязвимость и использовали ее, чтобы собрать токены, они могли перейти на другие аккаунты и украсть еще больше».

В своем посте представители Facebook пояснили, что взломщики эксплуатировали сразу три связанных между собой бага:

- Функция «Посмотреть как…» позволяла публиковать видео от чужого лица, особенно если это было поздравление с днем рождения.
- Новая версия загрузчика видео, чей интерфейс отображался из-за первого бага, генерировала токен с привилегиями мобильного приложения соцсети.
- В тот момент, когда загрузчик видео появлялся в режиме «Посмотреть как…», он создавал токен доступа к аккаунту, который просматривал злоумышленник.

Взломщики использовали API Facebook, чтоб автоматизировать сбор пользовательский информации. Специалисты компании закрыли уязвимость 25 сентября, когда был зафиксирован всплеск подозрительной активности. На время расследования инцидента соцсеть отключила функцию «Посмотреть как…».

Автор:	Softodrom.ru
Дата:	02.10.2018 15:54