Фацебоок неуспели покушаји пријављивања Покушаји откривања приватних података
- Категорија: Фејсбук
Изгледа да се Фацебоок ових дана не одмара када је у питању приватност. Нови буг у сриједу је открио истраживач Атул Агарвал, који је дозволио било коме да усклади адресу е-поште са Фацебоок именом корисника и сликом профила.
Фацебоок је осмислио поступак пријављивања за пружање додатних информација кориснику ако се комбинација е-поште и лозинке која се користи за пријаву не подударају.
Уместо да приказује упозорење да информације о пријави нису тачне, Фацебоок је отишао корак даље и на страници приказао информације „Пријава као“. Ово укључује фотографију и пуно име корисника без обзира на поставке приватности тог корисника на Фацебооку.
Атул је детаљно описао проблем Сецлистс :
Понекад сам приметио чудан проблем са Фацебоок-ом, случајно сам унео погрешну лозинку у Фацебоок и показао је моје име и презиме са сликом профила, заједно са погрешном поруком за лозинку. Мислила сам да чињеница да приказује име има неке везе са смештеним колачићима, па сам пробао друге ИД-ове е-поште, и то исто. Питао сам се о могућностима и написао ПОЦ алат да га тестирам.
Ова скрипта издваја име и презиме (дају их корисници када се пријаве на Фацебоок). Фацебоок је довољно љубазан да врати име чак и ако је испоручена комбинација е-поште / лозинке погрешна. Надаље, такође
даје слику профила (овај скрипт не доноси жетву, али је лако и то додати). Корисници Фацебоока немају контролу над тим, јер то функционише чак и када сте правилно поставили сва подешавања приватности. Сакупљање ових података је врло лако, јер се лако може заобићи коришћењем гомиле проки-ја.
То питање је решио Фацебоок у рекордном року. То, међутим, то значи
питање приватности су искористили сви, укључујући кориснике без Фацебоок налога, све док се исправак није применио.
На обичном енглеском језику свако ко је открио проблем могао је да повеже адресе е-поште са правим именима и профилним фотографијама на Фацебооку, чак и без налога.
Намењени нападачи су можда користили аутоматизацију за цртање масовних информација из Фацебоока.
Доказ концепта који је написао Атул показао је да су злонамерни корисници могли да искористе проблем да би створили огромну базу повезаних повезаних адреса и пуних имена, што би могло бити погубно ако се користи у пхисхинг кампањама или другој злонамјерној употреби.