Shutterstock / Bloomua Security je jeden ťažký podnik, pretože sa zdá, že každý deň prináša novú chybu alebo zraniteľnosť. Dnešné zistenie je veľké, pretože by mohlo ovplyvniť takmer 1,5 miliardy používateľov Facebooku.
Reza Moaiandin, technický riaditeľ spoločnosti Salt Agency, objavil chybu na Facebooku, ktorá by mohla hackerom umožniť zistiť vaše telefónne číslo, aj keď je súkromné. Takto to funguje a ako sa chrániť.
Ako to funguje
Vyhľadávacie pole Facebooku umožňuje vyhľadať potenciálnych priateľov na Facebooku jednoduchým zadaním ich mena, ale veľa ľudí nevie, že môžete zadávať aj telefónne čísla a dostávať výsledky. Ak si myslíte, že nastavenie súkromného telefónneho čísla zabráni zobrazovaniu vo výsledkoch vyhľadávania, zamyslite sa. Nastavením svojho telefónneho čísla na súkromné iba zabránite jeho zobrazovaniu vo vašom osobnom profile, keď si ho prezerajú priatelia.
Keby sme napísali scenár a použili API Facebooku, mohli by sme mať v priebehu niekoľkých minút milióny telefónnych čísel.
Facebook má ďalšie nastavenie, ktoré umožňuje komukoľvek vyhľadať vás na základe vášho telefónneho čísla alebo e-mailovej adresy a v predvolenom nastavení je nastavené na možnosť Verejné. To znamená, že ktokoľvek (priateľ alebo priateľ), ktorý zadá vaše telefónne číslo do vyhľadávacieho poľa na Facebooku, dostane informácie, ako je vaše meno, umiestnenie a profilový obrázok. To je v poriadku, ak daná osoba skutočne pozná vaše číslo, pretože s najväčšou pravdepodobnosťou ide o známeho, osobného priateľa alebo člena rodiny.
Problém nastáva, pretože hacker môže napísať jednoduchý skript s miliónmi telefónnych čísel podľa vzoru pre určitú oblasť. Potom môžu pomocou rozhrania API Facebooku vykonať vyhľadávanie a získať výsledky v priebehu niekoľkých minút. Predstavte si, aké zničujúce by to bolo pre celebrity a politikov, najmä preto, že väčšina ľudí dnes používa svoje mobilné číslo výlučne.
Aby sme dokázali Moaiandinov nález, zadali sme do vyhľadávacieho poľa Facebooku niekoľko telefónnych čísel priateľov, ktorí neboli priateľmi. Pre každé číslo sa objavilo bingo, meno osoby, poloha a profilová fotografia, akoby sme zadali jej meno. Táto metóda by samozrejme bola veľmi pomalá, pretože by ste museli zadávať každé možné telefónne číslo, ale dokazuje to, že chyba existuje. Keby sme napísali scenár a použili API Facebooku, mohli by sme mať v priebehu niekoľkých minút milióny telefónnych čísel spolu s tým, komu patria.
Čo dokáže Facebook?
Moaiandin odporúča Facebooku, aby jednoducho obmedzil počet žiadostí na používateľa a zistil vzory. Bol by to dobrý začiatok, ale najlepším scenárom by bolo šifrovanie údajov.
Prvýkrát so svojimi zisteniami kontaktoval Facebook v apríli 2015, prvý inžinier však tejto problematike nerozumel. Po krátkom čakaní Moaiandin minulý mesiac spoločnosť znova informoval a jeden inžinier odpovedal: „Ďakujem za prihlásenie. Preskúmal som našu kódovú základňu a zdá sa, že implementuje obmedzenie rýchlosti. Upozorňujeme, že limity rýchlosti môžu byť vyššie ako sadzby, ktoré posielate na naše servery. Zdá sa teda, že nie ste blokovaní. Toto je zámerné. Nepovažujeme to za bezpečnostnú chybu, ale máme zavedené kontroly a zmierňujeme zneužívanie. “ Inými slovami, Facebook má niektoré ovládacie prvky, ktoré bránia hackerom zhromažďovať hromadné telefónne zoznamy, ale nie sú dostatočne prísne.
Ako sa brániť za menej ako minútu
Dobré správy! Nemusíte čakať, kým sa Facebook prebudí a nevyrieši tento problém.
Kontaktovali sme Rezu Moaiandina a môžeme potvrdiť, že ak budete postupovať podľa krokov uvedených nižšie od buď na stolnom počítači alebo v smartfóne, vaše telefónne číslo nebude viditeľné pre hackerov, ktorí sa snažia použiť skript, ani pre náhodnú osobu, ktorá ho náhodou zadá do vyhľadávacieho poľa na Facebooku. Naliehavo vyzývame všetkých, aby tak urobili hneď, pretože to trvá menej ako minútu.
Z pracovnej plochy
- Otvorte Facebook vo svojom prehliadači, kliknite na trojuholník hore nohami vpravo hore a vyberte Nastavenie.
- Vyberte Ochrana osobných údajov z ľavej tably.
- Nájsť Kto ma môže vyhľadať v časti Nastavenia a nástroje na ochranu osobných údajov
- Vyberte Kto ma môže vyhľadať pomocou telefónneho čísla, ktoré ste poskytli?a zmeniť to na Priatelia priateľov alebo len tak Priatelia. Len Priatelia by bola najvyššou ochranou.
- Tiež si všimnete možnosť pre Kto ma môže vyhľadať pomocou e-mailovej adresy, ktorú ste zadali?Môžete to tiež zmeniť, ak chcete, ale pre hackera je oveľa ťažšie vytvoriť skript e-mailových vzorov na základe ich zložitosti.
Z vášho smartphonu
- V aplikácii Facebook klepnite na ikonu hamburgeru (tri riadky) vpravo hore a nájdite Nastavenia účtu.
- Klepnite na Ochrana osobných údajov.
- Nájsť Kto ma môže vyhľadať pod Ako sa pripájate.
- VyberteKto ma môže vyhľadať pomocou telefónneho čísla, ktoré ste poskytli?a zmeniť to naPriatelia priateľov alebo len tak Priatelia. Len Priatelia by bola najvyššou ochranou.
- Tiež si všimnete možnosť pre Kto ma môže vyhľadať pomocou e-mailovej adresy, ktorú ste zadali? Toto môžete zmeniť, ak chcete, ale pre hackera je oveľa ťažšie vytvoriť skript vzorov e-mailov na základe ich zložitosti.
Tento príspevok aktualizujeme, keď Facebook chybu uzná a následne ju opravíme.
