Cyberattaque exposés des données personnelles des 50 millions comptes Facebook

Computer Security News

Facebook a signalé qu’une cyber-attaque récente a exposé les renseignements personnels de 50 millions de comptes.

L’équipe de réseau social a révélé que les pirates ont exploité une vulnérabilité dans la fonction « Voir sous » qui leur permettre de voler des jetons d’accès Facebook.

Grâce à la fonctionnalité « Vue sous », les utilisateurs peuvent voir comment les autres gens voient leur profil. Cette fonctionnalité est implémentée en vertu de la section de la vie privée pour aider les utilisateurs pour vérifier que seules les données prévues soient visibles pour leur profil public.

Le 16 septembre, l’équipe de Facebook repéré un pic de trafic, cependant, la cyber-attaque elle-même a été enregistrée le 25 septembre, quand l’équipe a découvert la façon dont la plate-forme a été violée. Officiellement, Facebook révélé l’incident, le 27 septembre.

En réponse à l’attaque, l’équipe de Facebook désactivé la fonctionnalité « Vue sous », réinitialiser les jetons de sécurité pour les comptes touchés 50 millions et par mesure de précaution, reset pour autres comptes 40 millions. En outre, les pirates réussi à accéder à certaines données du Facebook fondateur Mark Zuckerberg et le COO Sheryl Sandberg.

L’équipe de Facebook avise tous les utilisateurs dont les jetons ont été compromises par les assaillants.

Selon le réseau social, la vulnérabilité est le résultat de l’enchaînement de trois défauts affectant la fonction « Voir sous » et uploader vidéo de la Facebook. La version de l’interface vidéo uploader affecté par la vulnérabilité a été introduite en juillet 2017.

1. experts remarqué que la « vue comme » permet d’afficher le profil comme une interface inaltérable. mais la plate-forme ne parvient pas à valider le contenu soumis par l’entremise de zone de texte qui permet aux gens de souhaiter joyeux anniversaire de à leurs amis (c’est le premier bug). Les experts a découvert qu’il est possible d’afficher une vidéo par le biais de ce domaine.
2. le deuxième point est lié au fait que l’uploader vidéo généré un jeton d’accès qui a les autorisations de l’application mobile Facebook lors de la publication d’une vidéo dans la zone de texte.
3. le troisième bug c’est que le jeton généré n’était pas pour l’utilisateur qui avait eu recours à « Voir sous » mais pour celui dont le profil est en cours de visualisation, cela signifie que les attaquants pourraient obtenir le jeton du code HTML de la page et il permet de prendre en charge le compte. de l’utilisateur ciblé

une autre chose intéressante à propos de la récente attaque de cyber est le fait que les pirates seraient pirater tout d’abord un amis compte et attaque autres comptes connectés après cela.

Facebook a également signalé que les criminels interrogé les API pour accéder aux informations de profil, mais aucune information privée (messages privés ou des données de carte de crédit) semblent avoir été consultée.

Un autre aspect sous-estimé est le fait que les jetons exposés peuvent être utilisé pour accéder aux applications tierces qui permettent le profil d’authentification utiliser Facebook. La remise à zéro jeton atténué également ce risque.

En outre, les experts avertissent que les utilisateurs qui ont lié leur Facebook et Instagram comptes doivent dissocier et re-liez-les en raison de la remise à zéro des jetons.


Leave a Reply

Your email address will not be published. Required fields are marked *