Σοβαρή ευπάθεια βοηθά τους χάκερ να επιτεθούν σε λογαριασμούς στο Facebook

[διαφήμιση_1]

Ο ειδικός σε θέματα κυβερνοασφάλειας Samip Aryal - ο οποίος βρίσκεται στην κορυφή της λίστας των «κυνηγών κεφαλών» του Facebook, μόλις ανακοίνωσε πληροφορίες σχετικά με ένα κενό ασφαλείας σε αυτό το κοινωνικό δίκτυο, το οποίο επιτρέπει στους χάκερ να εκμεταλλεύονται τους λογαριασμούς των θυμάτων. Το πρόβλημα ανακαλύφθηκε και διορθώθηκε στις 2 Φεβρουαρίου, αλλά ανακοινώθηκε στο κοινό μόλις ένα μήνα αργότερα (λόγω των κανονισμών ασφαλείας).

Σύμφωνα με την Aryal, η ευπάθεια σχετίζεται με τη διαδικασία επαναφοράς κωδικού πρόσβασης στο Facebook μέσω της προαιρετικής λειτουργίας που στέλνει έναν 6ψήφιο κωδικό ελέγχου ταυτότητας σε μια άλλη συσκευή στην οποία έχει συνδεθεί ή εγγραφεί ο χρήστης. Αυτός ο κωδικός χρησιμοποιείται για τον έλεγχο ταυτότητας του χρήστη και την ολοκλήρωση της διαδικασίας επαναφοράς κωδικού πρόσβασης σε μια νέα συσκευή (η οποία δεν έχει συνδεθεί στο παρελθόν).

Κατά τη διάρκεια της ανάλυσης του ερωτήματος, ανακάλυψε ότι το Facebook στέλνει έναν σταθερό κωδικό ελέγχου ταυτότητας (ο οποίος δεν αλλάζει την ακολουθία των αριθμών), ο οποίος ισχύει για 2 ώρες και δεν διαθέτει μέτρα ασφαλείας για την αποτροπή επιθέσεων brute-force, ενός τύπου μη εξουσιοδοτημένης εισβολής που χρησιμοποιεί τη μέθοδο δοκιμής όλων των πιθανών συμβολοσειρών κωδικού πρόσβασης για να βρει τη σωστή ακολουθία χαρακτήρων.

Tài khoản Facebook bị chiếm quyền chỉ bằng phương thức dò mật khẩu — Ο λογαριασμός στο Facebook παραβιάστηκε μόνο με σάρωση του κωδικού σύνδεσης

Αυτό σημαίνει ότι εντός 2 ωρών από την αποστολή του κωδικού, ο εισβολέας μπορεί να εισάγει λάθος κωδικό ενεργοποίησης αμέτρητες φορές χωρίς να αντιμετωπίσει κανένα μέτρο πρόληψης από το σύστημα του Facebook. Κανονικά, εάν εισαχθεί λάθος κωδικός ή κωδικός πρόσβασης περισσότερες από τον καθορισμένο αριθμό φορών, ένα σύστημα ασφαλείας θα αναστείλει προσωρινά την πρόσβαση σύνδεσης για τον ύποπτο λογαριασμό.

2 ώρες μπορεί να μην είναι πολλές για τους κανονικούς ανθρώπους, αλλά για τους χάκερ που χρησιμοποιούν εργαλεία υποστήριξης είναι απολύτως εφικτό.

Ένας εισβολέας χρειάζεται μόνο να γνωρίζει το όνομα χρήστη του λογαριασμού-στόχου για να μπορέσει να στείλει ένα αίτημα για κωδικό επαλήθευσης και, στη συνέχεια, να εφαρμόσει τη μέθοδο brute-force συνεχώς για 2 ώρες, μέχρι το αποτέλεσμα να είναι ότι είναι εύκολο να επαναφέρετε τον νέο κωδικό πρόσβασης, να αναλάβετε τον έλεγχο και να "κλωτσήσετε" τις συνεδρίες πρόσβασης του πραγματικού κατόχου προτού μπορέσει να κάνει οτιδήποτε.

Ο κ. Vu Ngoc Son, διευθυντής τεχνολογίας της NCS, δήλωσε ότι αυτός ο τύπος επίθεσης είναι πέρα από την ικανότητα του χρήστη να αποτρέψει και ονομάζεται επίθεση 0-click. Με αυτόν τον τύπο, οι χάκερ μπορούν να κλέψουν τον λογαριασμό του θύματος χωρίς καμία ενέργεια από μέρους του.

«Όταν γίνεται εκμετάλλευση αυτής της ευπάθειας, το θύμα θα λάβει μια ειδοποίηση από το Facebook. Επομένως, εάν λάβετε ξαφνικά μια ειδοποίηση από το Facebook σχετικά με την ανάκτηση κωδικού πρόσβασης, είναι πολύ πιθανό ο λογαριασμός σας να δέχεται επίθεση και να έχει παραβιαστεί», μοιράστηκε ο κ. Σον. Ο ειδικός είπε ότι με ευπάθειες όπως αυτή που αναφέρθηκε παραπάνω, οι χρήστες μπορούν μόνο να περιμένουν τον προμηθευτή να διορθώσει το σφάλμα.

Το Facebook είναι ένα δημοφιλές κοινωνικό δίκτυο σε πολλές χώρες σε όλο τον κόσμο , συμπεριλαμβανομένου του Βιετνάμ, και οι χρήστες δημοσιεύουν και αποθηκεύουν πολλά προσωπικά δεδομένα κατά τη χρήση. Ως εκ τούτου, οι χάκερ συχνά στοχεύουν να επιτεθούν και να πάρουν τον έλεγχο λογαριασμών στην πλατφόρμα για να πραγματοποιήσουν δόλια σενάρια.

Μεταξύ αυτών, η πιο συνηθισμένη είναι η μορφή πλαστοπροσωπίας του θύματος και η επικοινωνία με συγγενείς στη λίστα φίλων τους για να ζητήσουν μεταφορές χρημάτων με σκοπό την εξαπάτηση χρημάτων. Αυτή η μέθοδος, με την υποστήριξη της τεχνολογίας Deepfake για ψεύτικες βιντεοκλήσεις , έχει παγιδεύσει πολλούς ανθρώπους. Προκειμένου να δημιουργήσουν μεγαλύτερη εμπιστοσύνη, οι απατεώνες αγοράζουν και πωλούν επίσης τραπεζικούς λογαριασμούς με το ίδιο όνομα με τον κάτοχο του λογαριασμού στο Facebook για να πραγματοποιήσουν εύκολα την απάτη τους.

Μια άλλη μορφή είναι η κατάληψη και στη συνέχεια η χρήση του λογαριασμού για την αποστολή συνδέσμων ή αρχείων που περιέχουν κακόβουλο κώδικα, τα οποία διαδίδονται στα κοινωνικά δίκτυα. Αυτοί οι κακόβουλοι κώδικες έχουν ως στόχο να επιτεθούν και να κλέψουν προσωπικές πληροφορίες (όπως αριθμούς τραπεζικών λογαριασμών, φωτογραφίες, επαφές, μηνύματα και πολλά άλλα είδη δεδομένων που είναι αποθηκευμένα στη μνήμη της συσκευής) αφού ενεργοποιηθούν στη συσκευή-στόχο (τη συσκευή που χρησιμοποιεί το θύμα).

[διαφήμιση_2]
Σύνδεσμος πηγής