Piątkowe włamanie do Facebooka było poważniejsze, niż skandal Cambridge Analytica (aktualizacja)

W piątek Facebook informował o potężnym włamaniu, podczas którego atakujący uzyskali kontrolę nad około 50 milionami kont. Wydarzenie zostało opisane podczas konferencji Advertising Week. Jest gorzej, niż zakładaliśmy.

O włamaniu opowiedziała Carolyn Everson, wiceprezes globalnego marketingu. Włamanie przedstawiła tak szczegółowo, jak tylko było to możliwe, bez podawania zbyt wielu informacji. Według niej atakujący uzyskali kontrolę nad dziesiątkami milionów kont, więc możemy założyć, że podawane w mediach 50 milionów to ogromne niedoszacowanie. Tak naprawdę nie wiadomo, ile kont przejęli atakujący. Wiemy za to, że mieli pełny dostęp do profili uzytkowników. Co więcej, mieli też dostęp do innych usług, w których używamy Facebooka do logowania. Mowa tu o Tinderze, Spotify czy Airbnb.

Jeśli na początku roku przejmowaliście się wydobywaniem danych przez firmę Cambridge Analytica, teraz macie prawdziwy powód do zmartwień. Skala tego włamania kilkukrotnie przekracza zniszczenia, jakich dokonał skandal z początku roku. Nawet jeśli atakujący jakimś cudem ukradli tylko ułamek z danych, do których mieli dostęp, pokazali, jak fatalnie zabezpieczone są konta 2 miliardów osób. Business Insider obwinia za to liczne prowizorki, wprowadzone w kodzie, a także bezgraniczną chciwość prowadzących serwis. Facebook jest tak źle napisany, że token pozwalający dostać się do czyjegoś profilu można było wydobyć przez mechanizm do oglądania własnego profilu jako ktoś z zewnątrz. Jason Polakis z Uniwersytetu stanowego Illinois w Chicago na Twitterze przestrzega przed podejrzaną aktywnością w różnych miejscach – także takich, gdzie sami nigdy się nie logowaliśmy.

To nadal nie koniec. Aplikacja Facebooka dla iOS-a przechowuje informacje o sesji bez szyfrowania i można je bez większych problemów wydobyć. Ponadto Polakis i jego koledzy odkryli, że jeśli atakujący użyli tych informacji (na przykład ciasteczek) do uzyskania dostępu do czyjegoś konta, ich sesja nie będzie widoczna na liście aktywnych sesji, jeśli byli połączeni mniej niż 60 minut. W zasadzie użytkownik nie ma łatwego sposobu na sprawdzenie, czy na jego koncie działo się coś podejrzanego i może się tylko domyślać.

Everson zaznaczyła, że atak był bardzo skomplikowany i wymagał od przestępców znajomości trzech różnych luk w oprogramowaniu Facebooka. Atakujący poruszali się po systemach, jakby nie mieli zapachu i nic nie ważyli, a wykrycie ich obecności było możliwe tylko jeśli wykonają pewną, konkretną czynność. To dość ironiczne w kontekście portalu, który śledzi każdy nasz ruch. Facebook jest jak podejrzliwa sąsiadka, która doskonale wie, kiedy wracamy do domu, ale zapomina zamknąć drzwi do swojego mieszkania.

Do postępowania dotyczącego wycieku danych z Facebooka przystąpił Urząd Ochrony Danych osobowych, ponieważ zgłoszone przez Facebook naruszenie ochrony danych osobowych dotyczy także polskich użytkowników.

Facebook Ireland przekazał do irlandzkiego organu ds. ochrony danych osobowych informację dotyczącą naruszenia ochrony danych osobowych użytkowników tego portalu. Zgodnie z przepisami RODO (art. 56) to irlandzki organ jest tzw. organem wiodącym, właściwym do rozpoznania sprawy. Dzięki temu, że działa on w imieniu wszystkich krajowych organów nadzorczych z UE, które są zainteresowane tematem, postępowanie może być prowadzone szybko i efektywnie.

Urząd Ochrony Danych Osobowych już przystąpił do postępowania jako organ, którego sprawa dotyczy (bo naruszenie może wpłynąć na osoby mieszkające w Polsce) i będzie ją monitorował, mając dostęp do wszystkich ustaleń irlandzkiego organu. Zgodnie z przepisami rozdziału VII RODO dotyczącego współpracy i spójności, organ wiodący ma obowiązek niezwłocznego przekazywania niezbędnych informacji organom, których sprawa dotyczy. Jest również zobowiązany do przedłożenia projektu decyzji, w celu uzyskania ich opinii i należytego uwzględnienia ich uwag. Polski organ nadzorczy będzie więc miał wgląd w stosowne informacje dotyczące tego naruszenia, a także będzie mógł – dbając o interesy polskich użytkowników – zgłosić swoje uwagi do projektowanej decyzji, która ostatecznie zostanie wydana przez irlandzki organ nadzorczy.