Facebook "View As" Feature Left Open Massive Security Flaw

Facebook heeft vrijdag aangekondigd dat ongeveer 30 miljoen accounts zijn gecompromitteerd door een hacker of een groep hackers die misbruik hebben gemaakt van een kwetsbaarheid in de broncode van de site. Deze nieuwste inbreuk op de beveiliging stelde de aanvallers in staat gebruikersprofielinformatie te oogsten - zoals hun naam, geslacht en woonplaats - en neem die accounts over voor een onbekende hoeveelheid tijd.

Update: de resultaten van een nieuw onderzoek dat op 12 oktober werd gepubliceerd, onthulden dat de hack minder accounts beïnvloedde dan eerder werd onthuld. Het verhaal is bijgewerkt om de nieuwe nummers weer te geven.

Deze schending vloeide voort uit de "View As" -functie van Facebook, waarmee gebruikers kunnen zien hoe hun profiel eruitziet voor anderen. Facebook-technici ontdekten de beveiligingsfout op dinsdag, repareerden deze en meldden vervolgens wetshandhavingsinstanties, waaronder de FBI, volgens een verklaring.

Het is misschien wel het ernstigste beveiligingsprobleem van Facebook: vanwege de controle die de hackers hadden, lijkt het nog erger dan zelfs Cambridge Analytica. Ondertussen heeft Commissaris Rohit Chopra van de Federale Handelscommissie al een korte verklaring afgelegd waarin staat dat hij de kwestie zal onderzoeken.

"Ik wil antwoorden," verklaarde Chopra op Twitter in de nasleep van het nieuws.

Guy Rosen, de vice-president van Facebook, schrijft in het blogbericht van het bedrijf dat de "weergave als" fout ervoor zorgt dat hackers Facebook-toegangstokens kunnen stelen die kunnen worden gebruikt om de accounts van mensen over te nemen.

"Toegangstokens zijn het equivalent van digitale sleutels die mensen op Facebook laten inloggen, zodat ze hun wachtwoord niet telkens opnieuw hoeven in te voeren als ze de app gebruiken", schrijft Rosen.

Wat zijn Facebook-toegangstokens?

Om de inbreuk te beëindigen, heeft Facebook de toegangstokens van ongeveer 50 miljoen accounts opnieuw ingesteld. Een extra 40 miljoen accounts werden ook gereset als de functie "Bekijken als" het afgelopen jaar werd gebruikt. Dit betekent dat ongeveer 4 procent van de 2,2 miljard maandelijkse actieve gebruikers van Facebook vrijdag opnieuw moest inloggen op hun accounts. Het is onduidelijk of mensen die niet waren uitgelogd, niet werden beïnvloed.

Facebook-managers meldden vrijdag aan verslaggevers dat wachtwoorden en creditcardinformatie niet werden aangetast door deze inbreuk op de beveiliging. Het bedrijf verklaarde dat zijn onderzoek zich nog in de beginfase bevindt, maar dat het op een later tijdstip meer informatie zal verschaffen naarmate het details ontdekt.

"Beveiliging is een wapenwedloop en we blijven onze verdediging verbeteren", zei CEO Mark Zuckerberg over de oproep. "Dit zal een voortdurende inspanning zijn en we zullen ons daar in de loop van de tijd op moeten blijven concentreren."

Facebook wordt momenteel onderzocht door de FBI, SEC, FTC en het ministerie van Justitie voor het verkeerd beheren van gegevens in het Cambridge Analytica-schandaal, toen de persoonlijke gegevens van 87 miljoen gebruikers werden gebruikt voor politieke middelen. Deze meest recente schending voegt nog meer controle toe aan de privacyverklaring van het bedrijf.

De schending dekt ook een ongewoon slechte week van de pers, zelfs voor Facebook. Op maandag kondigden de oprichters van Instagram - een van de sterproducten van Facebook - aan dat ze het bedrijf zouden verlaten. Twee dagen later herhaalde WhatsApp-oprichter Brian Acton zijn oproep om Facebook in een dishy te verwijderen Forbes interview, daarbij verwijzend naar privacykwesties.

Wie zit er achter de Facebook-hack?

Sheryl Sandberg, de chief operating officer van Facebook, bood vrijdag rond deze dag wat kleur aan rond de vraag: "Hoewel we nog steeds niet weten wie er achter deze aanvallen zit, of deze accounts nu worden misbruikt, of als er informatie is geweest, loggen we uit ongeveer 90 miljoen accounts die mogelijk als voorzorgsmaatregel zijn getroffen. Dit is de reden waarom u mogelijk een bericht ontvangt waarin u wordt gevraagd u opnieuw aan te melden."