Súlyos sebezhetőség segíti a hackereket a Facebook-fiókok megtámadásában

[hirdetés_1]

A Facebook „fejvadász” listájának élén álló kiberbiztonsági szakértő, Samip Aryal nemrégiben bejelentette, hogy a közösségi hálózaton egy biztonsági résről bukkant fel, amely lehetővé teszi a hackerek számára, hogy kihasználják az áldozatok fiókjait. A problémát február 2-án fedezték fel és javították ki, de a nyilvánosság számára csak egy hónappal később hozták nyilvánosságra (a biztonsági előírások miatt).

Aryal szerint a sebezhetőség a Facebook jelszó-visszaállítási folyamatához kapcsolódik egy opcionális funkción keresztül, amely egy 6 számjegyű hitelesítési kódot küld egy másik eszközre, amelyre a felhasználó bejelentkezett vagy regisztrált. Ezt a kódot használják a felhasználó hitelesítésére és a jelszó-visszaállítási folyamat befejezésére egy új eszközön (amelyre korábban még nem jelentkeztek be).

A lekérdezés elemzése során felfedezte, hogy a Facebook egy fix hitelesítési kódot küld (amely nem változtatja meg a számsorrendet), amely 2 órán át érvényes, és nincsenek biztonsági intézkedései a nyers erő támadások megakadályozására, amelyek egyfajta jogosulatlan behatolás, amely az összes lehetséges jelszólánc kipróbálásának módszerét használja a helyes karaktersorozat megtalálásához.

Tài khoản Facebook bị chiếm quyền chỉ bằng phương thức dò mật khẩu — Facebook-fiókot csak a bejelentkezési kód beolvasásával törtek fel

Ez azt jelenti, hogy a kód elküldésétől számított 2 órán belül a támadó számtalanszor megadhatja a rossz aktiválási kódot anélkül, hogy a Facebook rendszere bármilyen megelőző intézkedéssel szembesülne. Normális esetben, ha a rossz kódot vagy jelszót a megadott számú alkalommal adják meg, a biztonsági rendszer ideiglenesen felfüggeszti a gyanús fiók bejelentkezési hozzáférését.

2 óra lehet, hogy nem sok egy átlagos embernek, de a támogató eszközöket használó hackerek számára teljesen lehetséges.

Egy támadónak csak a célfiók bejelentkezési nevét kell ismernie ahhoz, hogy ellenőrző kódot kérjen, majd a brute-force módszert folyamatosan alkalmazza 2 órán keresztül, amíg az eredmény az, hogy könnyen visszaállítható az új jelszó, átvehető az irányítás, és „ki lehet rúgni” a valódi tulajdonos hozzáférési munkameneteit, mielőtt bármit is tehetne.

Vu Ngoc Son, az NCS technológiai igazgatója elmondta, hogy az ilyen típusú támadásokat a felhasználók nem tudják megakadályozni, ezért 0 kattintásos támadásnak nevezik. Ezzel a típussal a hackerek ellophatják az áldozat fiókját anélkül, hogy az áldozat bármilyen beavatkozást végezne.

„Amikor ezt a sebezhetőséget kihasználják, az áldozat értesítést kap a Facebooktól. Ezért, ha hirtelen értesítést kap a Facebooktól a jelszó-helyreállításról, nagyon valószínű, hogy a fiókját megtámadják és átveszik” – osztotta meg Mr. Son. A szakértő szerint a fent említett sebezhetőségek esetén a felhasználóknak csak arra kell várniuk, hogy a szállító kijavítsa a hibát.

A Facebook egy népszerű közösségi hálózat a világ számos országában, beleértve Vietnámot is, és a felhasználók rengeteg személyes adatot tesznek közzé és tárolnak használat közben. Ezért a hackerek gyakran célozzák meg a támadást és a platformon lévő fiókok irányításának átvételét csalárd forgatókönyvek végrehajtása céljából.

Ezek közül a legkiemelkedőbb az áldozat személyes adataival való visszaélés és a baráti listáján szereplő rokonok megkeresése pénzátutalás kérésével a pénz kijátszása érdekében. Ez a módszer, a Deepfake technológia támogatásával a hamis videohívásokhoz , sok embert csapdába ejtett. A bizalom növelése érdekében a csalók olyan bankszámlákat is vásárolnak és adnak el, amelyeken ugyanaz a név, mint a Facebook-fiók tulajdonosáé, hogy könnyen végrehajthassák átverésüket.

Egy másik forma a fiók eltérítése, majd a fiók felhasználása kártékony kódot tartalmazó linkek vagy fájlok küldésére, amelyek a közösségi hálózatokon terjednek. Ezeknek a kártékony kódoknak a feladata a személyes adatok (például bankszámlaszámok, fényképek, névjegyek, üzenetek és az eszköz memóriájában tárolt sok más adattípus) megtámadása és ellopása, miután aktiválódtak a céleszközön (az áldozat által használt eszközön).

[hirdetés_2]
Forráslink