Facebook z fatalną luką zabezpieczeń. Hakerom wystarczył Twój numer telefonu

Wykryto poważny błąd w systemie logowania na platformach Facebook i Instagram. Ten doprowadził do tego, że przestępcy mogli wykorzystać uwierzytelnianie dwuskładnikowe do przejęcia naszego konta!

Meta ma już za sobą sporo skandali i wypadków, które mogły zaszkodzić użytkownikom platformy w kontekście prywatności. Okazuje się, że nie tak dawno temu Facebook po raz kolejny wpakował internautów w kłopoty – chodzi o uwierzytelnianie dwuskładnikowe.

Uwierzytelnianie dwuskładnikowe to rozwiązanie, z którego warto korzystać na co dzień. Wymaga ono od nas dodatkowego potwierdzenia hasła, na przykład poprzez wprowadzenie kodu przesłanego na nasz numer telefonu.

Z takiego rozwiązania skorzystamy na przykład w usługach Google, ale także właśnie na Facebooku czy Instagramie. Okazuje się jednak, że w dwóch ostatnich nie działało ono do końca sprawnie.

Facebook znów coś zepsuł. 2FA nie działało jak trzeba

Badacz bezpieczeństwa Gtm Mänôz w 2022 roku zauważył poważny błąd w zabezpieczeniach uwierzytelnienia dwuskładnikowego. Okazało się, że Meta nie ustaliła limitu prób podczas wprowadzania kodu z SMS-a.

Oznacza to, że haker, posiadając numer telefonu lub adres e-mail ofiary jest w stanie powiązać numer z własnym kontem na Facebooku w scentralizowanego centrum kont, a następnie wymusić otrzymanie dwuskładnikowego kodu SMS.

Kluczowy jest tu też właśnie fakt, że Meta nie ustawiła limitu prób wpisania kodu. Przy wykorzystaniu techniki brute force, generując kolejne kody, hakerzy byli w stanie dotrzeć do tego prawidłowego.

W chwili, w której przestępca odgadł kod, numer telefonu ofiary został powiązany z kontem atakującego na Facebooku, a uwierzytelnianie dwuskładnikowe na koncie poszkodowanego zostałoby wyłączone, ponieważ numer telefonu został powiązany z innym kontem. O tym jednak ofiara zostałaby poinformowana w wiadomości mailowej przez Facebooka.

Całe szczęście ten rażący błąd został już naprawiony przez Metę. Badacz Gtm Mänôz otrzymał od Mety za odkrycie luki zabezpieczeń nagrodę w postaci 27 tysięcy dolarów.

Rzecznik prasowy Mety podaje, że nie ma dowodów na wykorzystywanie luki w środowisku naturalnym, a firma nie zauważyła wzrostu wykorzystania tej konkretnej funkcji.

Przeczytaj również

https://www.gsmmaniak.pl/1378769/facebook-messenger-drenowanie-bateria/

Źródło