ผู้บุกรุกสามารถทำร้ายคุณลักษณะการค้นหาทางโทรศัพท์ของ Facebook เพื่อค้นหาหมายเลขโทรศัพท์ที่ถูกต้องและชื่อเจ้าของได้ตามที่นักวิจัยด้านความปลอดภัย

Facebook ช่วยให้ผู้ใช้สามารถเชื่อมโยงหมายเลขโทรศัพท์ของพวกเขาได้ กับบัญชีของตน ถ้าหมายเลขโทรศัพท์มือถือจำเป็นต้องใช้เพื่อยืนยันบัญชี Facebook ใหม่ ๆ และปลดล็อกคุณสมบัติเช่นการอัปโหลดวิดีโอหรือการปรับเปลี่ยน URL ของส่วนกำหนดเวลา

[อ่านเพิ่มเติม: วิธีลบมัลแวร์จากคอมพิวเตอร์ที่ใช้ Windows]

เมื่อเพิ่มหมายเลขโทรศัพท์ลงใน ส่วน "ข้อมูลการติดต่อ" ในหน้าโปรไฟล์ Facebook ของผู้ใช้แต่ละรายผู้ใช้สามารถเลือกได้ว่าต้องการให้ข้อมูลเหล่านี้ปรากฏแก่สาธารณชนทั่วไปเฉพาะกับเพื่อนหรือต้องการเก็บไว้ในตัวเองซึ่งเป็นตัวเลือกความเป็นส่วนตัวที่ดี

Facebook ยังอนุญาตให้ผู้ใช้ค้นหาคนอื่น ๆ ในเว็บไซต์ด้วยการค้นหาหมายเลขโทรศัพท์ของบุคคลเหล่านั้นในรูปแบบสากล

ผู้ใช้สามารถควบคุมว่าใครสามารถหาตำแหน่งเหล่านี้ได้โดยใช้ตัวเลือกนี้ใน "Privacy Settings"> "How You เชื่อมต่อ ">" ใครสามารถมองหาคุณโดยใช้ที่อยู่อีเมลหรือหมายเลขโทรศัพท์ที่คุณให้ไว้ " "ทุกคน"

ซึ่งหมายความว่าแม้ว่าคุณจะตั้งค่าการเปิดเผยหมายเลขโทรศัพท์ของคุณเป็น "ฉันเท่านั้น" ในหน้าโปรไฟล์ของคุณทุกคนที่รู้หมายเลขโทรศัพท์ของคุณจะสามารถหาคุณพบใน Facebook ได้เว้นเสียแต่ว่า คุณเปลี่ยนการตั้งค่าที่สองเป็น "เพื่อน" หรือ "เพื่อนของเพื่อน" ไม่มีตัวเลือกในการป้องกันไม่ให้ทุกคนสามารถค้นหาโปรไฟล์ของคุณโดยใช้หมายเลขโทรศัพท์ของคุณ

เนื่องจากคนส่วนใหญ่ไม่ได้เปลี่ยนค่าดีฟอลต์ของการตั้งค่านี้เป็นไปได้ที่ผู้โจมตีสามารถสร้างรายชื่อหมายเลขโทรศัพท์ตามลำดับภายในที่เลือกได้ และใช้ช่องค้นหาของ Facebook เพื่อค้นหาว่าเขาเป็นใคร Prakash กล่าว

Prakash อ้างว่าเขาได้แบ่งปันสถานการณ์การโจมตีนี้กับทีมรักษาความปลอดภัยของ Facebook ในเดือนสิงหาคมและหลังจากเหตุการณ์นี้เกิดขึ้น การตอบสนองครั้งแรกเมื่อวันที่ 31 สิงหาคมอีเมลทั้งหมดของเขาไม่มีคำตอบจนกว่าจะถึงวันที่ 2 ตุลาคมเมื่อตัวแทน Facebook ตอบและบอกว่าอัตราที่ผู้ใช้สามารถพบได้บนเว็บไซต์ผ่านทางใด ๆ รวมถึงหมายเลขโทรศัพท์ถูก จำกัด

อย่างไรก็ตามเว็บไซต์ mobile-m.facebook.com รุ่นมือถือดูเหมือนจะมีข้อ จำกัด ด้านอัตราการค้นหาใด ๆ Prakash กล่าว

นักวิจัยสร้างตัวเลขขึ้นโดยใช้คำนำหน้าของประเทศสหรัฐอเมริกาและอินเดียและสร้างหลักฐานพิสูจน์ง่ายๆว่า " (PoC) แมโครที่ค้นหาพวกเขาใน Facebook และบันทึกคนที่พบว่ามีการเชื่อมโยงกับโปรไฟล์ Facebook พร้อมกับชื่อของเจ้าของของพวกเขา

แกรค์กล่าวว่าเขาตัดสินใจที่จะเปิดเผยต่อสาธารณชนช่องโหว่ไม่กี่วัน ไปทางท้ายเรือ er ส่งสคริปต์ PoC ของเขาไปยัง Facebook เพราะ บริษัท ไม่ตอบสนอง Prakash ได้ตีพิมพ์ 850 หมายเลขโทรศัพท์และชื่อที่เกี่ยวข้องซึ่งอ้างว่าเป็นส่วนเล็ก ๆ ของข้อมูลที่เขาได้รับในระหว่างการทดสอบของเขา

"เป็นเวลาประมาณหนึ่งสัปดาห์นับตั้งแต่ที่เริ่มใช้งานและฉันยังไม่ได้ทำ ถูกบล็อก "Prakash กล่าวเมื่อวันจันทร์ทางอีเมล "Facebook ยังไม่ได้ตอบกลับคำร้องขอความคิดเห็นที่ส่งมาในวันจันทร์

นักวิจัยอีกคนทำการทดสอบ

หลังจากการเปิดเผยข้อมูลสาธารณะของ Prakash ไทเลอร์บอร์แลนด์, นักวิจัยด้านความปลอดภัยของผู้ให้บริการด้านการรักษาความปลอดภัยเครือข่าย Alert Logic ได้สร้างสคริปต์ที่มีประสิทธิภาพมากขึ้นซึ่งสามารถเรียกใช้กระบวนการค้นหา Facebook Facebook ได้ถึงสิบกระบวนการในเวลาเดียวกัน สคริปต์ของ Borland เรียกว่า "โปรแกรมรวบรวมข้อมูลโทรศัพท์ของ Facebook" และสามารถค้นหาหมายเลขโทรศัพท์ได้จากช่วงที่ผู้ใช้ระบุ

"ด้วยการตั้งค่าเริ่มต้นฉันสามารถตรวจสอบข้อมูลสำหรับหมายเลขโทรศัพท์ได้ทุกๆวินาที" Borland กล่าวทางอีเมลในวันจันทร์ "พวกเขา [Facebook] ไม่ได้ใช้อัตราใด ๆ หรือฉันยังไม่ถึงขีด จำกัด ดังกล่าวอีกฉันได้ส่งคำขอเป็นร้อย ๆ ครั้งภายในระยะเวลาสั้น ๆ และไม่มีอะไรเกิดขึ้น"

ด้วยสคริปต์ของ Borland ที่ทำงานอยู่เป็นจำนวนมาก ผู้บุกรุกสามารถค้นหาหมายเลขโทรศัพท์และชื่อผู้ใช้ Facebook ส่วนใหญ่ที่มีหมายเลขโทรศัพท์มือถือที่เชื่อมโยงกับบัญชีของตนได้ภายในเวลาไม่กี่วัน Prakash กล่าวว่า

เป็นเรื่องที่น่าเป็นห่วงว่าช่องโหว่นี้ยังเปิดอยู่และมี Bogdan Botezatu นักวิเคราะห์อาวุโสด้านอีเลิร์นนิ่งของ Bitdefender Bitdefender กล่าวในวันนี้ว่ามีเครื่องมือสาธารณะที่สามารถใช้ประโยชน์ได้ ผู้ใช้น้อยมากเปลี่ยนการตั้งค่าความเป็นส่วนตัวเริ่มต้นของพวกเขาเขากล่าวว่า

นี่เป็นอีกตัวอย่างหนึ่งของการที่คุณลักษณะที่ยอดเยี่ยมสามารถถูกทำร้ายได้หากกลไกด้านความปลอดภัยใช้งานได้ไม่ดีหรือหายไปอย่างสมบูรณ์ Botezatu กล่าว "แตกต่างจากข้อความอีเมลหรือความคิดเห็นเกี่ยวกับบล็อกการเข้าหาผู้ใช้ทางโทรศัพท์มีประสิทธิภาพมากขึ้นในการโจมตีด้วยเสียงหอก [ฟิชชิ่ง] โดยส่วนใหญ่เป็นเพราะผู้ใช้คอมพิวเตอร์ไม่รู้ถึงข้อเท็จจริงที่ว่าหมายเลขโทรศัพท์ของเขาอาจลงเอยด้วย ผู้โจมตีสามารถโน้มน้าวให้ผู้ใช้ส่งข้อมูลส่วนบุคคลได้ตลอดเวลา "

การโจมตีด้วยฟิชชิ่งเสียงและการหลอกลวงทางโทรศัพท์ประเภทอื่น ๆ เป็นเรื่องปกติและอัตราความสำเร็จของพวกเขาอยู่ในระดับสูงแล้ว Botezatu "เดี๋ยวนี้คิดว่าโจรเหล่านี้เรียกคุณด้วยชื่อเต็มของคุณและย้อนกลับแถลงการณ์ของพวกเขาด้วยข้อมูลเกี่ยวกับคุณที่ถ่ายจากโปรไฟล์ [Facebook] ของคุณ" Botezatu กล่าวว่า