Социальная сеть Facebook рассказала о критической уязвимости в коде сервиса, с помощью которой хакеры могли получить доступ к данным 50 миллионов учетных записей.
По словам вице-президента Facebook Гая Розена, на данный момент расследование инцидента находится на ранних стадиях, поэтому компания пока не может сказать, были ли похищены какие-либо данные и если да, то какие именно; кто их похитил и откуда.
«Известно, что критическая уязвимость в коде функции «Посмотреть как», позволяющей узнать, как видят ваш профиль другие люди, появилась в июне 2017 года. Через эту уязвимость злоумышленники могли получить токены доступа и похитить 50 млн учетных записей», — рассказали в компании, отметив, что впервые о наличие проблемы им стало известно еще в прошлом году, 25 сентября.
Отметим, что токены доступа представляют собой цифровые ключи, с помощью которых авторизация в Facebook осуществляется автоматически, без необходимости вводить пароль каждый раз, когда человек использует сервис.
В соцсети заверили, что уже исправили уязвимость и проинформировали правоохранителей. По мнению журналистов The Verge, это говорит о том, что, по данным Facebook, данной уязвимостью все же воспользовались хакеры.
Также компания решила сбросить токены доступа для 50 млн пользователей, в дальнейшем на всякий случай компания обновит цифровые ключи еще для 40 млн человек. В результате им придется заново авторизоваться в соцсети.
«После того, как пользователи вновь войдут в систему, они получат оповещение в верхней части ленты новостей о том, что произошло», — утверждают в Facebook.
Кроме этого, в компании приняли решение на время отключить функцию «Посмотреть как» до выяснения всех обстоятельств.
«Во вторник мы обнаружили, что некий злоумышленник пытался воспользоваться технической уязвимостью с целью похитить токены, — прокомментировал ситуацию генеральный директор Facebook Марк Цукерберг. — Сейчас мы не знаем, удавалось ли кому-то похитить ключи доступа и получить доступ к конфиденциальной информации ранее, поэтому продолжаем анализировать проблему».
При этом представители соцсети призывают не паниковать и не менять массово пароли от своих аккаунтов. Помимо этого, они успокаивают, что уязвимость никак не повлияла на сохранность данных кредитных карт.
Также сообщается, что уязвимость срабатывала только в паре с двумя другими ошибками (включая баг в коде инструмента, позволяющего публиковать видеоролики, посвященные дню рождения пользователя) и что хакеры за один раз могли получить доступ только к одному аккаунту.
Интересно, что впоследствии пользователи Facebook начали так часто делиться информацией об уязвимости, что сервис стал блокировать ссылки на посвященные ей новостные материалы, в частности, сообщения от The Guardian и Associated Press.
Некоторые пользователи предположили, что таким циничным образом социальная сеть принялась бороться с негативными новостями о себе.
В Facebook, однако, заверили, что блокирование ссылок произошло в результате срабатывания системы обнаружения спам-контента.
«Мы исправили проблему, как только о ней узнали. Сейчас пользователи вновь имеют возможность постить ссылки на интересующие их материалы, включая заметки Associated Press и The Guardian. Приносим извинения за доставленные неудобства», — заявила администрация социальной сети.
Источники: TechCrunch, «Украинская правда», The Verge