Závažná zranitelnost pomáhá hackerům útočit na facebookové účty

Kybernetický bezpečnostní expert Samip Aryal – který je na vrcholu seznamu „lovců odměn“ na Facebooku, právě oznámil informace o bezpečnostní zranitelnosti na této sociální síti, která hackerům umožňuje zneužívat účty obětí. Problém byl objeven a opraven 2. února, ale veřejnosti byl oznámen až o měsíc později (kvůli bezpečnostním předpisům).

Podle Aryala se zranitelnost vztahuje k procesu resetování hesla na Facebooku prostřednictvím volitelné funkce, která odesílá 6místný ověřovací kód na jiné zařízení, na kterém se uživatel přihlásil nebo zaregistroval. Tento kód se používá k ověření uživatele a dokončení procesu resetování hesla na novém zařízení (které dosud nebylo přihlášeno).

Během analýzy dotazu zjistil, že Facebook odesílá fixní ověřovací kód (který nemění posloupnost čísel), který je platný 2 hodiny, a nemá žádná bezpečnostní opatření, která by zabránila útokům hrubou silou, což je typ neoprávněného vniknutí, který využívá metodu zkoušení všech možných řetězců hesel k nalezení správné posloupnosti znaků.

Tài khoản Facebook bị chiếm quyền chỉ bằng phương thức dò mật khẩu — Účet na Facebooku byl hacknut pouhým naskenováním přihlašovacího kódu

To znamená, že do 2 hodin od odeslání kódu může útočník zadat nesprávný aktivační kód nespočetkrát, aniž by se setkal s jakýmikoli preventivními opatřeními ze strany systému Facebooku. Pokud je nesprávný kód nebo heslo zadán vícekrát, než je zadaný počet, bezpečnostní systém obvykle dočasně pozastaví přihlašovací přístup k podezřelému účtu.

2 hodiny nemusí být pro běžné lidi moc, ale pro hackery používající podpůrné nástroje je to zcela možné.

Útočník potřebuje znát pouze přihlašovací jméno cílového účtu, aby mohl odeslat požadavek na ověřovací kód, a poté po dobu 2 hodin nepřetržitě aplikovat metodu hrubé síly, dokud nedosáhne výsledku, kdy je snadné resetovat nové heslo, převzít kontrolu a „vyřadit“ přístupové relace skutečného majitele dříve, než stihne cokoli udělat.

Pan Vu Ngoc Son, technologický ředitel NCS, uvedl, že tomuto typu útoku se uživatel nedokáže vyhnout a nazývá se útok s nulovým kliknutím. S tímto typem mohou hackeři ukrást účet oběti, aniž by oběť jakkoli zareagovala.

„Když je tato zranitelnost zneužita, oběť obdrží od Facebooku oznámení. Pokud tedy náhle obdržíte oznámení od Facebooku o obnovení hesla, je velmi pravděpodobné, že váš účet je napaden a převzat,“ sdělil pan Son. Odborník uvedl, že u zranitelností, jako je ta výše zmíněná, mohou uživatelé jen čekat, až dodavatel chybu opraví.

Facebook je populární sociální síť v mnoha zemích světa , včetně Vietnamu, a uživatelé během používání zveřejňují a ukládají velké množství osobních údajů. Hackeři se proto často snaží zaútočit na účty na platformě a převzít kontrolu nad nimi, aby mohli provádět podvodné scénáře.

Mezi nimi je nejvýznamnější forma vydávání se za oběť a kontaktování příbuzných na jejím seznamu přátel s žádostí o převod peněz za účelem podvodu. Tato metoda, s podporou technologie Deepfake pro falešné videohovory , navnadila mnoho lidí. Aby si podvodníci vytvořili větší důvěru, kupují a prodávají také bankovní účty se stejným jménem jako majitel facebookového účtu, aby snadno provedli svůj podvod.

Další formou je únos účtu a následné použití k odesílání odkazů nebo souborů obsahujících škodlivý kód, který se šíří na sociálních sítích. Tyto škodlivé kódy mají za úkol po aktivaci na cílovém zařízení (zařízení používaném obětí) napadat a krást osobní údaje (jako jsou čísla bankovních účtů, fotografie, kontakty, zprávy a mnoho dalších typů dat uložených v paměti zařízení).

Zdrojový odkaz