Shutterstock / Bloomua Security er en hård forretning, da det ser ud til, at hver dag bringer en ny fejl eller sårbarhed. Dagens fund er stor, da den kan påvirke næsten 1,5 milliarder Facebook-brugere.
Reza Moaiandin, teknisk direktør hos Salt Agency, opdagede en fejl ved Facebook, der kunne gøre det muligt for hackere at finde ud af dit telefonnummer, selv når det er indstillet til privat. Sådan fungerer det, og hvordan du beskytter dig selv.
Hvordan det virker
Facebooks søgefelt giver dig mulighed for at finde potentielle venner på Facebook ved blot at skrive deres navn, men mange mennesker ved ikke, at du også kan indtaste telefonnumre og modtage resultater. Hvis du tror, at indstilling af dit telefonnummer til privat vil forhindre det i at vises i søgeresultaterne, skal du tænke igen. Hvis du indstiller dit telefonnummer som privat, forhindrer det kun at blive vist i din personlige profil, når ikke-venner ser det.
Hvis vi skrev et script og brugte Facebooks API, kunne vi have millioner af telefonnumre inden for få minutter.
Facebook har en ekstra indstilling, der giver alle mulighed for at søge efter dig baseret på dit telefonnummer eller din e-mail-adresse, og den er som standard indstillet til Offentlig. Dette betyder, at enhver (ven eller ikke-ven), der indtaster dit telefonnummer i Facebook-søgefeltet, får oplysninger såsom dit navn, sted og profilbillede. Det er OK, hvis personen faktisk kender dit nummer, fordi de sandsynligvis er en bekendt, en personlig ven eller et familiemedlem.
Problemet opstår, fordi en hacker kan skrive et simpelt script med millioner af telefonnumre, der følger et mønster for et bestemt område. De kan derefter bruge Facebooks API til at foretage en søgning og få resultater inden for få minutter. Forestil dig, hvor ødelæggende dette ville være for berømtheder og politikere, især da de fleste mennesker bruger deres mobilnummer udelukkende i disse dage.
For at bevise Moaiandins fund skrev vi et par telefonnumre til ikke-venner i Facebook-søgefeltet, og bingo, navnet på personen, placeringen og profilbilledet dukkede op for hvert nummer, ligesom hvis vi havde skrevet deres navn. Selvfølgelig vil denne metode være super langsom, da du bliver nødt til at indtaste hvert mulige telefonnummer, men det viser, at fejlen eksisterer. Hvis vi skrev et script og brugte Facebooks API, kunne vi have millioner af telefonnumre sammen med hvem de tilhørte inden for få minutter.
Hvad kan Facebook gøre?
Moaiandin råder Facebook til simpelthen at begrænse antallet af anmodninger pr. Bruger og opdage mønstre. Dette ville være en god start, men kryptering af data ville være det bedste tilfælde.
Han kontaktede først Facebook i april 2015 med sine fund, men den første ingeniør forstod ikke problemet. Efter at have ventet lidt, meddelte Moaiandin virksomheden igen i sidste måned, og en ingeniør svarede med: ”Tak for at skrive ind. Jeg undersøgte vores codebase, og det ser ud til at implementere hastighedsbegrænsning. Bemærk, at satsgrænserne kan være højere end den sats, du sender til vores servere, og det ser derfor ud til at du ikke er blokeret. Dette er bevidst. Vi betragter det ikke som en sikkerhedssårbarhed, men vi har kontroller på plads og afbød misbrug. ” Med andre ord, Facebook har nogle kontroller for at forhindre hackere i at samle massetelefonnummerlister, men de er ikke strenge nok.
Sådan forsvarer du dig selv på mindre end et minut
Gode nyheder! Du behøver ikke vente, indtil Facebook vågner op og løser dette problem.
Vi kontaktede Reza Moaiandin og kan bekræfte, at hvis du følger nedenstående trin fra enten et skrivebord eller en smartphone, vil dit telefonnummer ikke være synligt for hackere, der prøver at bruge et script, eller nogen tilfældig person, der tilfældigvis indtaster det i Facebook-søgefeltet. Vi opfordrer alle til at gøre dette nu, da det tager mindre end et minut at gøre.
Fra et skrivebord
- Åbn Facebook i din browser, klik på den opadvendte trekant øverst til højre, og vælg Indstillinger.
- Vælg Privatliv fra venstre rude.
- Finde Hvem kan slå mig op under fortrolighedsindstillinger og værktøjer
- Vælg Hvem kan slå mig op ved hjælp af det telefonnummer, du har angivet?og skift det til Venner af venner eller bare Venner. Lige Venner ville være den ultimative beskyttelse.
- Du vil også bemærke en mulighed for Hvem kan slå mig op ved hjælp af den e-mail-adresse, du har angivet?Du kan også ændre dette, hvis du vil, men det er meget sværere for en hacker at oprette et script med e-mail-mønstre baseret på deres kompleksitet.
Fra din smartphone
- I Facebook-appen skal du trykke på hamburgerikonet (tre linjer) øverst til højre og finde Bruger indstillinger.
- Trykke på Privatliv.
- Finde Hvem kan slå mig op under Sådan opretter du forbindelse.
- VælgHvem kan slå mig op ved hjælp af det telefonnummer, du har angivet?og skift det tilVenner af venner eller bare Venner. Lige Venner ville være den ultimative beskyttelse.
- Du vil også bemærke en mulighed for Hvem kan slå mig op ved hjælp af den e-mail-adresse, du har angivet? Du kan ændre dette, hvis du vil, men det er meget sværere for en hacker at oprette et script med e-mail-mønstre baseret på deres kompleksitet.
Vi opdaterer dette indlæg, når Facebook anerkender fejlen og derefter løser den.
