Сбой в системе безопасности: можно ли доверять «Фейсбуку»?

Что произошло?

Обновление, которое провела компания Фейсбук в июле 2017 года, привело к возникновению сбоя в опции программы View As, которая позволяет пользователям проверить, как видят его личную страницу другие пользователи. Ошибка привела к тому, что хакеры могли увидеть данные подключения к личным страницам и, в конце концов, завладеть ими. Речь идет не о краже пароля, а о сбое в охране специального определителя, который Фейсбук создает для каждого пользователя, подключенного к сайту. Этот определитель (Token) был создан для того, чтобы пользователь, который, например, подключился к Фейсбуку через аппликацию, и параллельно открывает Фейсбук через браузер, не должен заново вносить свои личные данные, а система определит их автоматически. 

После обновления программы хакеры обнаружили путь, по которому они могут создавать собственные “токены” и, соответственно, завладеть данными десятков миллионов пользователей Фейсбука. 

50 миллионов могут быть лишь верхушкой айсберга

По утверждениям представителей Фейсбука, расследование по проблеме бага находится в самом начале. Там утверждают, что не могут сказать с точностью, был ли этот баг использован во вред пользователям, либо хакеры просто не успели это сделать. Тем не менее, речь не идет о случае, когда специалисты по безопасности с добрыми намерениями обнаружили проблему и сообщили о ней руководству компании с целью получить вознаграждение. Фейсбук признает, что баг, скорее всего, был использован во вред, и трудно представить, что хакеры взломали, или попытались взломать, 50 миллионов эккаунтов только для того, чтобы насладиться детскими фотографиями пользователей. Иными словами, можно и нужно предположить, что часть личных данных пользователей, чьи эккаунты были взломаны, была похищена. “Следует подчеркнуть: хакеры могли использовать личные данные, как будто именно они являются владельцами эккаунта”, — подчеркнули в руководстве Фейсбука. С другой стороны, гендиректор компании Марк Цукерберг сказал, что у них имеется информация о том, что хакеры пытались добраться до механизма разработчиков программы, но в Фейсбуке не уверены, смогли ли злоумышленники похитить информацию или нет. 

Не только ваши фотографии и личные записи

Возможные последствия атаки не ограничиваются только личными страницами пользователей Фейсбука и их фотографиями. Проникновение хакеров позволяет им прочитать и использовать во вред личные сообщения пользователей, а также получить в свое распоряжение список ваших друзей, и, соответственно, продолжить взлом все новых и новых личных страниц, даже если они закрыты для просмотра для всех, кроме друзей. 

Те, кто интересовался скандалом вокруг Кембридж Аналитика наверняка помнит, что только 28 граждан Израиля установили у себя аппликацию, которая позволяла британской компании создавать политические кампейны для влияния на ход выборов. Количество граждан, на которых в реальности повлиял скандал вокруг Кембридж Аналитика, превышает 47 тысяч. Поэтому вполне возможно, что в ходе сбоя в системе безопасности Фейсбука пострадало менее 50 миллионов человек, но возможен и обратный вариант. Сбой подобного плана теоретически может ударить по сотням миллионов или даже по миллиарду пользователей. 

Можно предположить также, что среди взломанных личных страниц наверняка были и страницы бизнес-пользователей, что может привести к утечке коммерческой информации. Кроме того, не следует забывать, что существует немало сайтов, которые используют для входа имя пользователя и пароль Фейсбука — таким образом, дыра в безопасности сайта Цукерберга теоретически может повлиять на огромное количество сайтов. 

Ответственные: Россия, Китай или Иран? Не факт

По словам руководства Фейсбука, она не знает, кто несет ответственность за взлом на сей раз. Вместе с тем, из описаний взлома можно сделать вывод, что речь не идет о тривиальном похищении данных. Наиболее логично предположить в подобных случаях, что за взломом стоит государство, например, Россия, Китай или Северная Корея. 

Но все далеко не так просто. Нет никаких доказательств тому, что в данном случае в дело вмешалось государство. Тем не менее, слухи подобного рода фактически играют на руку Фейсбуку, фактически снимая с компании ответственность за утечку информации, так написала на своей странице в сети Твиттер Лесли Кархатт, сотрудник компании, занимающейся охраной данных в интернете. “Есть множество причин, по которым государства будут заинтересованы в информации, содержащейся в Фейсбуке. Есть и немало криминальных организаций, обладающих деньгами, возможностями и влиянием, которые хотят того же. Мы еще не знаем, кто является ответственным за это преступление”, — добавляет она. 

Как такое вообще может произойти?

Фейсбук в последний год осуществляет множество изменений, связанных с безопасностью своего проекта. Она решила расформировать свое центральное отделение по вопросам безопасности. Когда ответственный за безопасность данных компании Алекс Сеймос подал в отставку, компания не подобрала ему замену, предпочтя создать отделения по охране данных в каждой из дивизий Фейсбука. Объяснение, что во всем виновата реорганизация, является напрашивающимся, но не неопровержимым. Особенно учитывая факт, что взломы при помощи “токенов” известны еще с 2017 года. 

И здесь необходимо вернуться к правилу номер один кибер-пространства: нет и не может быть 100% гарантии!

Не существует 100-процентно безопасных технологий. Взломы всегда были и всегда будут, и всегда могут найтись люди, которые захотят использовать полученные данные во вред. В данном случае, речь не идет о случае, которой говорит о безответственности. В Фейсбуке работают прекрасные специалисты по охране данных и широко задействованы программы для проверки кода на предмет “багов”. Кроме того, Фейсбук сама нанимает хакеров, которые постоянно пытаются взломать ее базы данных, указывая на возможные пробелы в области безопасности. Но в данном случае речь идет об атаке, которая использовала ошибки сразу в трех областях, поэтому речь не идет об атаке обычной и тривиальной. 

Можно ли полагаться на Фейсбук. Ответ однозначен — нет. И даже не из-за данной конкретной проблемы безопасности. 

Во всем, что касается охраны данных, можно предположить, что Фейсбук предпринимает все усилия для того, чтобы предотвратить подобные скандалы в будущем. Но как показали события последних недель — на Фейсбук нельзя полагаться и по другим причинам. 

Обычно на этом этапе журналисты и специалисты в области охраны данных рекомендуют включить двухэтапную систему проверки личных данных, как дополнительное средство защиты вашей информации. Вместо того, чтобы войти на сайт при помощи юзера и пароля, эта услуга отправляет вам на телефон одноразовый код для входа в систему, и только с помощью этого кода вы сможете войти. Можно использовать и специальные аппликации кодов без необходимости получать СМС, но еще до совсем недавнего времени такая защита осуществлялась только через телефон. Проблема в том, что в последние недели выяснилось, что Фейсбук, в своем стиле, использует номера телефонов, которые пользователи предоставили ей для повышенной безопасности, в своих интересах. Фейсбук использовала эти телефоны для того, чтобы предоставить рекламодателям больше возможностей для контекстной рекламы. Все это делалось без того, чтобы честно объяснить пользователям, как компания использует номера, которые были предоставлены ей для охраны личной информации. 

Одед Ярон, ХаАрец. И.М. Фото: Pixabay.

Реклама

Анонс

Реклама

Партнёры

Загрузка…

Реклама

Send this to a friend