Facebook heeft een lek gedicht waarmee kwaadwillenden accounts konden overnemen. De methode combineerde twee bugs waarbij de gebruikers-id ontfutseld werd en de verificatiecode via bruteforce verkregen werd. De ontdekker kreeg 40.000 dollar.
Het platform geeft niet veel details over de bugs, maar zegt dat voor de eerste bug gebruikers alleen een e-mailadres of een telefoonnummer nodig hadden om achter de gebruikers-id te kunnen komen. Daarna konden ze het wachtwoord van een account resetten, door de verificatiecode waarmee een telefoonnummer gevalideerd wordt te bruteforcen. Vervolgens konden ze een account overnemen, schrijft Facebooks Bug Bounty-account.
Deze methode werkt volgens Facebook niet meer, al geeft het bedrijf niet aan of het beide bugs heeft gefixt of niet. Facebook zegt geen aanwijzingen te hebben dat deze methode in de praktijk is misbruikt.
Naast de methode om accounts over te kunnen nemen, heeft Facebook een bug opgelost waarmee telefoonnummers en e-mailadressen voor meer gebruikers zichtbaar waren dan had gemoeten. Wanneer gebruikers nieuwe telefoonnummers en e-mailadressen intoetsen in Facebook, was de defaultinstelling dat deze alleen zichtbaar zouden zijn voor de gebruiker zelf.
In de praktijk bleek echter dat Facebookvrienden deze gegevens ook in konden zien, in tegenstelling tot wat de defaultinstelling aangaf. Facebook zegt deze fout te hebben opgelost. Telefoonnummers en e-mailadressen die nu in Facebook worden toegevoegd, worden standaard alleen aan de gebruiker getoond. Ook eerdere gegevens die onder de defaultinstelling zijn toegevoegd, worden nu niet langer aan Facebookvrienden weergegeven.
Facebook zegt verder een fix te hebben geïmplementeerd bij meerdere Facebook-diensten die dergelijke defaultinstellingsproblemen in de toekomst moet voorkomen. Het platform zegt geen bewijs te hebben dat de foutief getoonde persoonsgegevens via scraping zijn buitgemaakt. De beveiligingsonderzoeker die dit probleem aankaartte, kreeg 15.000 dollar van het platform.
Verder heeft het platform nieuw beleid geïntroduceerd rondom bugs die contactinformatie openbaar maken die alleen voor de gebruiker zelf of voor vrienden bekend zou mogen zijn. Met contactinformatie doelt Facebook op data als telefoonnummers en e-mailadressen. Vanaf nu krijgen onderzoekers maximaal tienduizend dollar als beloning voor het melden van dergelijke bugs. Het exacte bedrag is onder meer afhankelijk van hoe eenvoudig het lek te misbruiken is en of het om consumenten of om bedrijven gaat. In het geval van bedrijven is de beloning lager, aangezien deze data volgens Facebook vaker openbaar te vinden of te gokken is.
/i/2004610826.png?f=fpa)
:strip_exif()/i/2004457958.jpeg?f=fpa)
/i/2000593550.png?f=fpa)
/i/2003430202.png?f=fpa)
:strip_exif()/i/1298302627.gif?f=fpa)
:strip_exif()/i/2001904311.jpeg?f=fpa)
/u/666430/crop5c3cbdf563e4a_cropped.png?f=community){kind=small}
/u/1273008/crop68f8983a85676_cropped.png?f=community){kind=small}
/u/363743/crop61aa1329d36b8_cropped.png?f=community){kind=small}
? Heb zelf al jaren geleden afscheid genomen van facebook en ben blij toe 
:strip_icc():strip_exif()/u/39/crop618f9b0fdf48e_cropped.jpg?f=community){kind=small}
/u/150672/crop61af6d6572df8_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/88719/crop624ccd84437db_cropped.jpg?f=community){kind=small}
