Утечка токенов доступа из Facebook могла затронуть 90 млн человек
Новости Безопасность
Социальная сеть Facebook объявила об утечке, которая могла затронуть 90 млн пользователей, в числе пострадавших оказался основатель компании Марк Цукерберг, пишет Threatpost.
Злоумышленники похитили 50 млн токенов доступа, которые можно было использовать в том числе на сторонних сайтах, позволяющих авторизоваться через Facebook. Еще в 40 млн случаев в отношении пользователей применялась уязвимая функция. В данный момент для всех, кого затронул инцидент, созданы новые токены.
Согласно сообщению в корпоративном блоге, специалисты Facebook обнаружили утечку 25 сентября и в скором времени закрыли связанные с ней бреши. Причиной уязвимости стала функция «Посмотреть как…» («View as…»), позволяющая пользователям проверить, как выглядит их профиль для определенных групп друзей.
«В этой атаке эксплуатировалось сложное взаимодействие между несколькими проблемными местами в нашем коде, — пояснил Гай Розен, вице-президент отдела менеджмента продуктов Facebook. — Оно уходит корнями в изменения, которые мы внесли в процесс загрузки видео в июле 2017-го, а те затронули [функцию] «Посмотреть как…». Взломщики не только нашли эту уязвимость и использовали ее, чтобы собрать токены, они могли перейти на другие аккаунты и украсть еще больше».
В своем посте представители Facebook пояснили, что взломщики эксплуатировали сразу три связанных между собой бага:
- Функция «Посмотреть как…» позволяла публиковать видео от чужого лица, особенно если это было поздравление с днем рождения.
- Новая версия загрузчика видео, чей интерфейс отображался из-за первого бага, генерировала токен с привилегиями мобильного приложения соцсети.
- В тот момент, когда загрузчик видео появлялся в режиме «Посмотреть как…», он создавал токен доступа к аккаунту, который просматривал злоумышленник.
Взломщики использовали API Facebook, чтоб автоматизировать сбор пользовательский информации. Специалисты компании закрыли уязвимость 25 сентября, когда был зафиксирован всплеск подозрительной активности. На время расследования инцидента соцсеть отключила функцию «Посмотреть как…».
28.04.2025 16:46
Для дропперов введут уголовную ответственность
Правительство РФ подготовило поправки в ст. 187 Уголовного кодекса («Неправомерный оборот средств платежей»), которыми будет введена уголовная ответственность для так называемых дропперов
|
07.04.2019 19:42
Как увидеть скрытых друзей во «ВКонтакте»
Поскольку многие пользователи «ВКонтакте» искренне верят, что существует способ увидеть чужих скрытых друзей, Софтодром решил этот миф опровергнуть
29.11.2017 23:52
Как защитить файл или папку паролем в Windows
Что делать, если вы используете компьютер под управлением Windows и вдруг решили защитить какой-либо файл или папку паролем, чтобы посторонние не могли узнать, что у вас там находится
|
|
Все рубрики статей (1432 / 186):
|
|
