Facebook, 50 milyon Kullanıcının Hesabının Sızdığını Açıkladı

Facebook, bu hafta başında keşfettiği ve daha önce bildirilmemiş bir saldırının, yaklaşık 50 milyon kullanıcıya ait kişisel verileri ortaya döktüğünü açıkladı. Şirket, saldırganların bir özellikteki açığı kullandıklarını kaydetti[1].

En önemli konuyu baştan söyleyelim; Facebook da şifrenizi değiştirmeye gerek olmadığını söylüyor.

Açıklamada, açığının giderildiği ve konunun güvenlik güçlerine bildirildiği de belirtildi. 90 milyondan fazla kullanıcı cuma sabahı itibariyle hesaplarından çıkış yapmak zorunda kaldı ve tekrar giriş yaptıkları zaman, Facebook ihlal ile ilgili bilgi verdi. Şirket, bu hareketin ihtiyati bir tedbir olduğunu söyledi.

Açık, Facebook kullanıcılarının kendi profillerini, sanki başkasıymış gibi görüntülemelerini sağlayan “Başkasının gözünden Gör (View As)[2]” özelliğinden geldi. Bu kullanıcıların, kendi istediklerinden daha fazlasının görünüp, görünmediğini kontrol ettikleri bir özellik. Ama saldırı sırasında, Facebook’un güvenliğindeki bu kusur, saldırganların daha fazlasını yapmasına izin verdi :

Araştırmamız hala sürüyor. Ancak saldırganların, Facebook’un “View As” özelliğini etkileyen, kullanıcıların kendi profillerinin neye benzediğini görmesini sağlayan bir özellik olan bir güvenlik açığından yararlandıkları görülüyor. Bu, daha sonra, kullanıcıların hesaplarını devralmak için kullanabilecekleri Facebook erişim jetonlarını çalmalarına izin verdi. Erişim jetonları, kişilerin Facebook’da kalmalarını sağlayan dijital anahtarlara eşdeğerdir, böylece uygulamayı her kullandıklarında şifrelerini tekrar girmeleri gerekmez.

Facebook tarafından kullanıcılara uygulanan hesaplardan zorunlu çıkışlar sayesinde, sürmekte olan erişimler kapatılmış oldu. Facebook bu şekilde etkilendiği tespit edilen 50 milyon hesabı ve geçen yıl “View As” özelliğini kullanmış olan 40 milyon hesabı dışarı attı.

Ama bu önlem, “acaba hangi veriler çalındı” sorusuna bir cevap ve çözüm getirmiyor. Hesaplardan doğum tarihi, yaşadığı yer vs gibi özel bilgiler çalınmış olabilir. Bunlar kredi kartı ya da banka hesaplarına yönelik saldırılar için önemli bilgiler. Ya da özel fotoğraflarınız ya da haberleşmeleriniz de çalınmış olabilir. Bunların yaratacağı sorunlar ise, başka bir konu.

[1] Security Update

[2] “View As”