Por Guy Rosen, vice-presidente de Gerenciamento de Produto
Nós queremos dividir uma atualização sobre o incidente de segurança que anunciamos há alguns dias. Isso foi uma questão muito séria e agimos rapidamente para proteger a segurança das contas das pessoas e para investigar o que aconteceu. Nós corrigimos a vulnerabilidade e reiniciamos os tokens de acesso de um total de 90 milhões de contas – 50 milhões que tiveram seus tokens roubados e 40 milhões que usaram o recurso “Ver Como” no último ano. Ao reiniciar os tokens de acesso, nós protegemos a segurança das contas das pessoas, e isso fez com que elas tivessem que se logar novamente no Facebook ou em qualquer aplicativo que usavam com o Facebook Login.
Recebemos perguntas sobre o que o ataque significou para os aplicativos usando o Facebook Login. Concluímos a análise de logins de todos os aplicativos de terceiros instalados ou logados durante este ataque. Essa investigação não encontrou até o momento evidências de que os invasores tenham acessado qualquer um dos apps usando o Facebook Login.
Qualquer desenvolvedor usando nossos kits oficiais para desenvolvimento de software (Facebook SDKs) – e todos que regularmente têm checado a validade dos tokens de acesso de seus usuários – foram automaticamente protegidos quando nós reiniciamos os tokens de acesso das pessoas. Contudo, por precaução adicional, como alguns desenvolvedores podem não ter usado nossos SDKs – ou checado regularmente se os tokens de acesso do Facebook eram válidos – nós estamos desenvolvendo uma ferramenta para permitir que os desenvolvedores possam manualmente identificar usuários de seus aplicativos que possam ter sido afetados, para que então eles possam desconectá-los.
A segurança é extremamente importante para o Facebook. É por isso que recomendamos aos desenvolvedores que fiquem atentos para as melhores práticas de segurança envolvendo o Facebook Login:
- Use os kits oficiais do Facebook para desenvolvimento de software para Android, iOS e JavaScript – eles irão automaticamente checar a validade dos tokens de acesso diariamente, e exigir um login novo quando os tokens de acesso forem reiniciados pelo Facebook, protegendo a segurança das contas dos usuários.
- Use a Graph API para manter as informações atualizadas e sempre desconecte usuários dos aplicativos quando códigos de erro mostrarem que qualquer sessão no Facebook é inválida.
Sentimos pelo incidente de segurança ocorrido, e vamos continuar a atualizar as pessoas à medida que soubermos mais sobre o que aconteceu.