Перейти к содержанию

Facebook позволял подглядывать за друзьями


Рекомендуемые сообщения

В сети Facebook был обнаружен серьезный дефект, который позволял просматривать приватную информацию путем выполнения определенных действий. Разработчики устранили его в течение нескольких часов, тем не менее, данный факт заставляет в очередной раз задуматься о безопасности данных, публикуемых в интернете.

 

Крупнейшая в мире социальная сеть Facebook устранила дефект, который позволял видеть, о чем пишут друг другу друзья пользователя в чате. Кроме того, он также позволял получить доступ к чужим спискам пользователей, отправивших запрос на дружбу. Для этого достаточно было выполнить последовательность определенных действий в веб-интерфейсе: зайти в меню Account, далее проследовать в разделы Privacy Settings, Personal Information, затем нажать на кнопку Preview my Profile и ввести имя друга, информацию которого нужно подсмотреть.

 

Дефект был обнаружен редакторами популярного издания TechCrunch, которые сочли его серьезным и немедленно уведомили об этом Facebook. Получив уведомление и убедившись в наличии проблемы разработчики мгновенно отключили функцию чата и выявили причину ее возникновения. В течение нескольких часов дефект был устранен. Когда он появился и сколько времени прошло до его обнаружения, не сообщается.

 

По словам читателей, воспользоваться обнаруженной возможностью получалось не у всех. Однако те, кому это удавалось сделать, были сильно удивлены тем, насколько легко оказывалось получить доступ к переписке друзей, которая была закрыта от посторонних глаз.

 

Эксперты в целом разочарованы уровнем безопасности Facebook, хотя и отмечают высокую скорость реакции. «Для любой организации, а особенно для социальных сетей нарушения системы безопасности представляют серьезную проблему, - считает эксперт из компании Symantec Кандид Вурст (Candid Wueest). – К сожалению, это не первый дефект такого рода, от которого пострадала социальная сеть – другие популярные сайты также испытывали схожие проблемы. И решают они их далеко не так быстро, как это было сделано сейчас». В некоторых случаях, по его словам, на латание дыр уходили дни.

 

440_b86c7.jpg

На устранение дефекта Facebook понадобилось несколько часов

 

Старший технический сотрудник организации Electronic Frontier Foundation (EFF), занимающейся защитой прав в цифровую эпоху, Питер Эккерcли (Peter Eckersley) рекомендует не публиковать в социальных сетях никакую информацию, доступ к которой со стороны третьих лиц может привести к негативным последствиям. «Если вы не хотите, чтобы мир знал о вас что-то, не публикуйте эту информацию в сетях вроде Facebook».

 

Согласно опросам, более половины пользователей социальных сетей отправляют в них важную персональную информацию. К ней специалисты относят семейные фотографии, информацию о месте работы и даже точную дату рождения. При этом 23% пользователей сети Facebook либо не знают о возможности ограничивать доступ к персональным данным, либо никогда не прибегали к помощи этой функции. Эксперты напоминают, что даже если пользователь удалит информацию, она может оставаться на сервере длительное время и выдаваться, например, по запросу государственных структур. В настоящее время различные организации пытаются определить, какой именно уровень безопасности должны предлагать социальные сети. cnews.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Сразу после католического Рождества стало известно о многоэтапной атаке на разработчиков популярных расширений Google Chrome. Самой известной целью по иронии судьбы стало ИБ-расширение от компании Cyberhaven, скомпрометированное прямо перед праздниками (о таких рисках мы предупреждали). По мере расследования инцидента список пополнился как минимум 35 популярными расширениями с суммарным числом установок 2,5 млн копий. Целью злоумышленников является похищение данных из браузеров пользователей, которые установили троянизированные обновления расширений. В ходе данной кампании преступники фокусировались на похищении учетных данных от сервисов Meta* с целью компрометации чужих бизнес-аккаунтов и запуска своей рекламы за чужой счет. Но, в теории, вредоносные расширения позволяют похищать и другие данные из браузера. Рассказываем о том, как устроена атака и какие меры принять для защиты на разных ее этапах.
      Атака на разработчиков: злоупотребление OAuth
      Чтобы внедрить троянскую функциональность в популярные расширения Chrome, преступники разработали оригинальную систему фишинга. Они рассылают разработчикам письма, замаскированные под стандартные оповещения Google о том, что расширение нарушает политики Chrome Web Store и его описание необходимо скорректировать. Текст и верстка сообщения хорошо мимикрируют под типовые аналогичные письма Google, поэтому для жертвы письмо выглядит убедительно. Более того, во многих случаях письмо отправляется с домена, специально зарегистрированного для атаки на конкретное расширение и содержащего название расширения прямо в имени домена.
      Клик по ссылке в письме приводит на легитимную страницу аутентификации Google. Пройдя ее, разработчик видит еще один стандартный экран Google, предлагающий авторизоваться по OAuth в приложении Privacy Policy Extension и в рамках входа в это приложение дать ему определенные права. Эта стандартная процедура проходит на легитимных страницах Google, только приложение Privacy Policy Extension запрашивает права на публикацию расширений в Web Store. Если разработчик дает такое разрешение, то авторы Privacy Policy Extension получают возможность публикации обновлений в Web Store от лица жертвы.
      В данном случае атакующие не крадут пароль и другие реквизиты доступа разработчика, не обходят MFA. Они просто злоупотребляют системой Google по делегированию прав, чтобы выманить у разработчика разрешение на обновление его расширения. Судя по длинному списку зарегистрированных злоумышленниками доменов, они пытались атаковать гораздо больше, чем 35 расширений. В тех случаях, когда атака проходила успешно, они выпускали обновленную версию расширения, добавляя в него два файла, ответственные за кражу куки-файлов и других данных Facebook** (worker.js и content.js).
       
      View the full article
    • sputnikk
      Автор sputnikk
      Отец когда-то регистрировался там для игры в шарики, но этого давно нету, поэтому перестал пользоваться.
      Вдруг стали приходить уведомления с запросом на дружбу. Сейчас посмотреть невозможно кто оставляет запросы на дружбу - нет пароля и доступ возможен только через антиблокировку.
       
      Запросы могут оставлять боты или сделал 1 человек много раз? Письма пересылаются мне из ящика отца.

       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Технологии и техника"
    • dkhilobok
      Автор dkhilobok
      Осенний набор на стажировку Safeboard уже стартовал!
       
      Время пробовать, исследовать и открывать новые горизонты. Учиться у лучших и быть лучшим.
       
      Можно учиться и работать одновременно? 100%.
      Платим за стажировку? Конечно!
      Во время стажировки ты будешь получать зарплату, бесплатно пользоваться спортзалом, сауной и игровыми комнатами.
       
      Направления стажировки:
      ·       DevOps
      ·       UX/UI-Дизайн
      ·       Анализ данных
      ·       Анализ защищенности
      ·       Локализация ПО
      ·       Разработка C, C++, Java Script, Python, С#
      ·       Системный анализ
      ·       Тестирование (ручное; авто, Python; авто, С# )
       
      Заявку можно подать сразу на 3 направления, а также податься на FAST TRACK (ускоренный отбор на стажировку) в команду Service Desk, для особо нетерпеливых.
       
      Service Desk – это IT-поддержка всей инфраструктуры компании. Через нас проходят все запросы сотрудников «Лаборатории Касперского» к IT: мы первые узнаем о технических неполадках и стараемся решить их максимально быстро и удобно для сотрудников. Наша работа влияет на инфраструктуру всей компании.
       
      Требования к кандидатам:
      - Проживать в Москве или МО, чтобы работать в формате офис или гибрид.
      - Готовность работать от 20 часов в неделю.
      - Обучение в вузе на любом курсе или в Школе 21
       
      Переходи по ссылке и оставляй заявку, приглашай всех заинтересованных!
      Заявку можно подать до 27 октября 2024 года.
      До встречи в команде «Лаборатории Касперского»!
    • KL FC Bot
      Автор KL FC Bot
      Недавно в Facebook* запустили новую функцию, которая называется «История ссылок». В этом посте мы расскажем о том, что это такое, зачем в Facebook* ее придумали, почему «Историю ссылок» стоит отключить, а главное — как именно это сделать.
      Что такое «История ссылок» в Facebook*
      В мобильных приложениях Facebook* есть встроенный браузер. Когда вы кликаете по любым опубликованным в Facebook* внешним ссылкам, они отображаются именно в этом браузере. Недавно в социальной сети решили собирать историю всех ссылок, по которым вы переходили, и использовать эти данные для того, чтобы показывать вам таргетированную рекламу.
      Зачем это нужно Facebook*? Потому что это не только крупнейшая социальная сеть в мире, но и одна из мощнейших мировых рекламных площадок, которая по масштабам и возможностям уступает разве что Google. Раньше для сбора данных об интересах пользователей и показа таргетированной рекламы на основе этих данных Facebook* использовал так называемые сторонние куки. Однако уже скоро поддержку сторонних куки должны отключить в самом распространенном в мире браузере — Google Chrome.
      В Google придумали собственный механизм слежки за пользователями и таргетирования рекламы — он называется Google Ad Topics. Для сбора данных в этой технологии задействованы, собственно, браузер Google Chrome и операционная система Android. Не так давно мы рассказывали, как отключить эту слежку Google.
      Ну а в Facebook* решили использовать для отслеживания пользователей браузер, встроенный в мобильные приложения соцсети. Так и появилась функция «История ссылок». Само собой, никаких дополнительных преимуществ простым пользователям она не дает, хотя сам Facebook* преподносит это как заботу о том, чтобы вы в любой момент могли найти посещенную когда-то ссылку. Но если вам не нравится, что Facebook* за вами следит, логично отключить «Историю ссылок» — тем более что сделать это совсем несложно.
       
      Посмотреть статью полностью
    • KL FC Bot
      Автор KL FC Bot
      Группа исследователей из нескольких немецких университетов и институтов обнаружила уязвимость в DNSSEC — наборе расширений протокола DNS, которые предназначены для повышения его безопасности, в первую очередь для противодействия DNS-спуфингу.
      Атака, эксплуатирующая эту уязвимость, которую они назвали KeyTrap, позволяет вывести из строя DNS-сервер, отправив ему единственный вредоносный пакет данных. Рассказываем подробнее об этой атаке.
      Как работает атака KeyTrap и чем она опасна
      Публично об уязвимости в DNSSEC стало известно только сейчас, однако она была обнаружена еще в декабре 2023 года и зарегистрирована как CVE-2023-50387. Ей присвоена оценка 7,5 по шкале CVSS 3.1 и уровень опасности «высокий». Полностью информация об уязвимости и соответствующей атаке пока не обнародована.
      Суть KeyTrap состоит в следующем. Атакующий создает собственный DNS-сервер, отвечающий на запросы кэширующих DNS-серверов (то есть серверов, которые непосредственно обслуживают запросы клиентов) вредоносным пакетом. Далее злоумышленник заставляет кэширующий сервер запросить DNS-запись у вредоносного DNS-сервера, который в ответ отправляет криптографически подписанную вредоносную DNS-запись. При этом подпись выполнена таким образом, что в процессе ее проверки атакуемый DNS-сервер зависает на продолжительное время с загрузкой процессора 100%.
      По словам исследователей, в зависимости от используемого на DNS-сервере ПО, эта атака может с помощью единственного вредоносного пакета заставить сервер зависнуть на срок от 170 секунд до 16 часов. В результате атаки KeyTrap можно не только лишить доступа к веб-контенту всех клиентов, которые пользуются выведенным из строя DNS-сервером, но и помешать работе различных инфраструктурных сервисов, таких как защита от спама, обработка цифровых сертификатов (PKI) и безопасная междоменная маршрутизация (RPKI).
      Сами исследователи называют KeyTrap «самой серьезной из когда-либо обнаруженных атак на DNS-серверы». Интересно, что изъяны в логике проверки подписи, которые делают эту атаку возможной, обнаружены еще в одной из самых ранних версий спецификации DNSSEC, опубликованной в 1999 году. То есть данной уязвимости без малого четверть века.
      Предпосылки для KeyTrap содержатся еще в RFC-2035 — спецификации DNSSEC, опубликованной в 1999 году
       
      Посмотреть статью полностью
×
×
  • Создать...