A Violação Maciça de Dados no Facebook: o que Você Precisa Saber e Fazer o Mais Rápido Possível

Na sexta-feira, dezenas de milhões de usuários do Facebook tentaram ver o que os seus amigos tinham compartilhado apenas para descobrir que eles haviam sido misteriosamente desconectados das suas contas. Após fazer o login novamente, eles descobriram qual era o motivo - eles foram afetados por uma vulnerabilidade que poderia resultar em um completo controle da conta.

O furo foi descoberto em 16 de setembro quando o pessoal da segurança do Facebook notou um aumento no número de consultas enviadas a uma das APIs da mídia social. Não há informações sobre esse pico estar ou não conectado, mas depois de uma investigação, eles encontraram três bugs separados que, se combinados, poderiam ter dado aos invasores acesso total ao perfil de um usuário.

Pior do que isso, eles perceberam que os hackers haviam realmente encontrado o bug antes deles e o haviam explorado. Sem perder tempo, corrigiram a vulnerabilidade, informaram a polícia e disseram ao público o que havia acontecido.

O Facebook me desconectou da minha conta na sexta-feira. Isso significa que eu deveria mudar a minha senha?

Isso não será necessário. A vulnerabilidade no controle da conta dependia do roubo de tokens de acesso, não de senhas. O token de acesso é o que permite que você permaneça logado ao seu dispositivo móvel e ao seu navegador, sem precisar inserir as suas credenciais de login sempre que quiser dar uma olhada no seu alimentador de notícias. Ao desconectar você da sua conta em todos os seus dispositivos, a equipe de segurança do Facebook invalidou efetivamente todos os seus tokens de acesso, o que significa que, mesmo que alguém o tenha atualmente, essa pessoa não poderá usá-lo. Se o Facebook não tiver desconectado você da sua conta, isso não significa que você esteja em perigo imediato.

Como os tokens de acesso foram roubados?

A vulnerabilidade foi introduzida em julho de 2017, quando o Facebook lançou uma nova versão do seu carregador de vídeos, mas, curiosamente, a falha foi explorada por meio de uma funcionalidade completamente diferente - o recurso Exibir Como.

O recurso Ver Como, como o nome sugere, permite que você saiba quantas das coisas que você compartilha o seu outro ex-significativo (ou qualquer outra pessoa) pode ver. Em uma teleconferência com os repórteres, Guy Rosen, vice-presidente de segurança, disse que, quando no modo Ver Como, você não deve ver o carregador de vídeos do Facebook de jeito nenhum. Devido a um bug, no entanto, ele apareceu em algumas ocasiões raras. O seu aparecimento desencadeou um outro bug que gerou um token de acesso que deu permissões virtualmente ilimitadas. O terceiro e último bug resultou na geração do token de acesso errado - não o da sua conta, mas o do perfil da sua ex melhor metade.

Quão grande foi o ataque?

Na sexta-feira, o Facebook registrou 90 milhões de pessoas fora das suas contas para invalidar os seus tokens de acesso. 50 milhões deles tiveram os seus tokens roubados pelos hackers, e os demais foram desconectados apenas por garantia.

Embora o número de contas afetadas represente uma parcela relativamente pequena dos 2,2 bilhões de usuários ativos do Facebook, ele não deve ser desprezado. Além disso, isso serve como prova de que com plataformas on-line maciças como o Facebook, quando as coisas dão errado, elas prejudicam muitas pessoas.

O que os hackers roubaram?

Um token de acesso ativo permite que um invasor faça tudo o que o proprietário da conta pode fazer. Basicamente, todas as informações disponíveis em uma conta (segura para os detalhes do cartão de crédito do proprietário) podem ser obtidas ilegalmente. As autoridades do Facebook admitem que ainda é muito cedo para dizer com certeza, mas até agora, não há evidências de qualquer uso indevido dos dados. Com isso dito, a escala do ataque foi significativa, e a sua natureza sugere que ele foi realizado por um grupo de hackers sofisticados, em vez de um punhado de crianças de um script.

A investigação do Facebook está em andamento e nos certificaremos de atualizá-lo com maiores resultados no momento em que eles estiverem disponíveis. Enquanto isso, a questão mais importante permanece.

O que posso fazer para me proteger?

Em suma, não muito. Não há nenhuma evidência de que a sua senha esteja comprometida; portanto, alterá-la não é realmente necessário, e a correção que foi implantado na semana passada, em teoria, parou o ataque imediatamente.

O Facebook cometeu alguns erros quando se trata da privacidade dos usuários nos últimos meses, o que mostra que uma das poucas coisas que você pode fazer é pensar cuidadosamente se acredita que os seus dados estão em boas mãos com o pessoal de Mark Zuckerberg. Se decidir que deseja continuar usando o Facebook, você talvez queira rever quantas informações estão disponíveis no seu perfil. Afinal, os seus dados não podem ser roubados se não estiverem lá.