Kerentanan serius memungkinkan peretas menyerang akun Facebook.

[iklan_1]

Pakar keamanan siber Samip Aryal - yang berada di puncak daftar "pemburu hadiah" Facebook - baru saja mengumumkan informasi tentang kerentanan keamanan di jejaring sosial ini, yang memungkinkan peretas untuk mengeksploitasi akun korban. Masalah ini ditemukan dan ditambal pada tanggal 2 Februari, tetapi baru diumumkan kepada publik sebulan kemudian (karena peraturan keamanan).

Menurut Aryal, kerentanan tersebut terkait dengan proses pengaturan ulang kata sandi Facebook melalui fitur opsional yang mengirimkan kode otentikasi 6 digit ke perangkat lain yang telah digunakan pengguna untuk masuk atau mendaftar. Kode ini digunakan untuk mengotentikasi pengguna dan menyelesaikan proses pengaturan ulang kata sandi pada perangkat baru (yang belum pernah digunakan untuk masuk sebelumnya).

Selama analisis kueri, ia menemukan bahwa Facebook mengirimkan kode otentikasi tetap (yang tidak mengubah urutan angka), yang berlaku selama 2 jam dan tidak memiliki langkah-langkah keamanan untuk mencegah serangan brute-force, yaitu jenis intrusi tidak sah yang menggunakan metode mencoba semua kemungkinan string kata sandi untuk menemukan urutan karakter yang benar.

Tài khoản Facebook bị chiếm quyền chỉ bằng phương thức dò mật khẩu — Akun Facebook diretas hanya dengan memindai kode login.

Ini berarti bahwa dalam waktu 2 jam setelah mengirimkan kode, penyerang dapat memasukkan kode aktivasi yang salah berkali-kali tanpa menemui tindakan pencegahan apa pun dari sistem Facebook. Biasanya, jika kode atau kata sandi yang salah dimasukkan lebih dari jumlah yang ditentukan, sistem keamanan akan menangguhkan sementara akses masuk untuk akun yang mencurigakan.

2 jam mungkin bukan waktu yang lama bagi orang biasa, tetapi bagi peretas yang menggunakan alat bantu, hal itu sangat mungkin terjadi.

Penyerang hanya perlu mengetahui nama pengguna akun target untuk dapat mengirim permintaan kode verifikasi, kemudian menerapkan metode brute-force secara terus menerus selama 2 jam, hingga hasilnya adalah mudah untuk mengatur ulang kata sandi baru, mengambil kendali, dan "mengusir" sesi akses pemilik sebenarnya sebelum mereka dapat melakukan apa pun.

Bapak Vu Ngoc Son, direktur teknologi NCS, mengatakan bahwa jenis serangan ini berada di luar kemampuan pengguna untuk mencegahnya dan disebut serangan 0-klik. Dengan jenis serangan ini, peretas dapat mencuri akun korban tanpa tindakan apa pun dari mereka.

"Ketika kerentanan ini dieksploitasi, korban akan menerima pemberitahuan dari Facebook. Oleh karena itu, jika Anda tiba-tiba menerima pemberitahuan dari Facebook tentang pemulihan kata sandi, kemungkinan besar akun Anda sedang diserang dan diambil alih," kata Bapak Son. Pakar tersebut mengatakan bahwa dengan kerentanan seperti yang disebutkan di atas, pengguna hanya bisa menunggu penyedia layanan untuk memperbaiki kesalahan tersebut.

Facebook adalah jejaring sosial populer di banyak negara di seluruh dunia , termasuk Vietnam, dan pengguna memposting serta menyimpan banyak data pribadi selama penggunaannya. Oleh karena itu, peretas seringkali bertujuan untuk menyerang dan mengambil kendali akun di platform tersebut untuk melakukan skenario penipuan.

Di antara berbagai modus tersebut, yang paling menonjol adalah penyamaran sebagai korban dan menghubungi kerabat di daftar teman korban untuk meminta transfer uang guna melakukan penipuan. Metode ini, dengan dukungan teknologi Deepfake untuk memalsukan panggilan video , telah menjebak banyak orang. Untuk menciptakan kepercayaan yang lebih besar, para penipu juga membeli dan menjual rekening bank dengan nama yang sama dengan pemilik akun Facebook agar mudah melakukan penipuan mereka.

Bentuk lainnya adalah dengan membajak dan kemudian menggunakan akun tersebut untuk mengirim tautan atau file yang berisi kode berbahaya, yang kemudian menyebar di jejaring sosial. Kode berbahaya ini bertugas menyerang dan mencuri informasi pribadi (seperti nomor rekening bank, foto, kontak, pesan, dan banyak jenis data lain yang tersimpan di memori perangkat) setelah diaktifkan pada perangkat target (perangkat yang digunakan oleh korban).

Tautan sumber