Данные 267 000 000 пользователей Facebook нашли в открытом доступе

Рекомендуем почитать:

Xakep #248. Checkm8

• Содержание выпуска
• Подписка на «Хакер»

Известный ИБ-эксперт Боб Дьяченко (Bob Diachenko) и специалисты компании Comparitech сообщили об обнаружении незащищенной базы Elasticsearch, содержащей данные 267 140 436 пользователей Facebook (большая часть информации принадлежала американским пользователям). Так, в базе можно было найти идентификаторы пользователей, номера телефонов и имена, и ко всем этим данным мог получить доступ любой желающий, без пароля или какой-либо аутентификации.

Аналитики Comparitech подчеркнули, что эти данные можно было использовать для проведения крупномасштабных спамерских и фишинговых SMS-кампаний, а также других вредоносных операций.

Эксперты считают, что база принадлежала некой преступной группе из Вьетнама. Поэтому за помощью специалисты обратились не к самим владельцам базы, а напрямую к провайдеру, который закрыл доступ к информации сразу после предупреждения, полученного от исследователей.

По данным специалистов, БД находилась в открытом доступе как минимум две недели (впервые ее проиндексировали 4 декабря 2019 года), и за это время обнаружена злоумышленниками, так как 12 декабря 2019 года дамп БД уже был опубликован для скачивания на хакерском форуме.

Исследователи пишут, что содержащиеся в БД сведения, вероятно, были собраны с помощью скрапинга или были получены путем злоупотребления API Facebook. Доступ к API был ограничен в 2018 году, однако злоумышленники, предположительно, могли обнаружить некую уязвимость и продолжали злоупотреблять API. Так, в ноябре текущего года Facebook уже признавала, что более 100 сторонних разработчиков приложений имели доступ к пользовательским данным через API групп, невзирая на то, что доступ к этой информации был ограничен в прошлом году.

Представители социальной сети сообщили, что изучают свежий инцидент, но предполагают, что информация в БД была собрана еще до изменений, которые компания осуществила за последние несколько лет.

Источник