Por Guy Rosen, vice-presidente de Gerenciamento de Produto
Temos trabalhado sem parar para investigar o incidente de segurança que descobrimos e corrigimos duas semanas atrás, para que possamos ajudar as pessoas a entender quais informações os invasores podem ter acessado. Hoje, estamos compartilhando detalhes sobre o ataque que descobrimos e que explorou a vulnerabilidade. Nós não descartamos a possibilidade de ataques em escala menor, e continuamos a investigar.
Como já dissemos, os invasores exploraram uma vulnerabilidade de código do Facebook que existiu entre julho de 2017 e setembro de 2018. A vulnerabilidade foi resultado de uma complexa interação de três diferentes falhas de software e impactou a funcionalidade “Ver Como“, que permite às pessoas verem como seus perfis aparecem para outras pessoas. Isso permitiu que os invasores roubassem tokens de acesso ao Facebook, que foram usados para que eles pudessem ter acesso às contas das pessoas. Tokens de acesso são como chaves digitais que mantêm as pessoas logadas no Facebook para que não precisem digitar novamente sua senha toda vez que acessam o aplicativo.
A seguir explicamos como o ataque explorou esta vulnerabilidade. Nós vimos um aumento inusual de atividade que começou em 14 de setembro de 2018, e então iniciamos nossa investigação. Em 25 de setembro, nós determinamos que se tratava de um ataque e identificamos a vulnerabilidade. Em dois dias, nós corrigimos a vulnerabilidade, interrompemos o ataque e garantimos a segurança das contas das pessoas, reiniciando os tokens de acesso das pessoas que foram potencialmente expostas. Por precaução, nós também desativamos a funcionalidade “Ver Como”. Nós estamos cooperando com o FBI, que está investigando o caso ativamente e nos pediu para não discutir sobre quem pode estar por trás deste ataque.
Nós também sabemos que menos pessoas foram impactadas do que o que pensávamos inicialmente. Das 50 milhões de pessoas que tiveram o acesso ao token comprometido, nós acreditamos que na verdade 30 milhões delas tiveram seus tokens roubados. A seguir explicamos o que aconteceu:
Primeiro, os invasores já controlavam um número de contas, que estavam conectadas com as contas existentes de amigos no Facebook. Eles usaram uma técnica de automação para se mover de uma conta para outra, para que pudessem roubar os tokens de acesso desses amigos, e então de amigos de amigos e assim por diante, totalizando cerca de 400 mil pessoas. Nesse processo, contudo, essa técnica automaticamente carregou o perfil dessas 400 mil contas do Facebook, como um espelho do que essas 400 mil pessoas estariam vendo em suas contas. Isso incluiu posts na timeline, suas listas de amigos, Grupos dos quais eram membros e os nomes de pessoas com as quais tinham conversado recentemente no Messenger. O conteúdo das mensagens não ficou disponível aos invasores, com uma exceção. Se alguém neste grupo era administrador de uma Página que recebeu uma mensagem de alguém no Facebook, então o conteúdo da mensagem ficou disponível aos invasores.
Os invasores usaram uma parcela das listas de amigos destas 400 mil pessoas para roubar um total de 30 milhões de tokens de acesso de outras pessoas. Para 15 milhões de pessoas, os invasores acessaram dois conjuntos de informação – nome e detalhes de contato (número de telefone, email ou ambos, dependendo das informações disponíveis nas contas). Para 14 milhões de pessoas, os invasores acessaram os mesmos dois conjuntos de dados, bem como outros detalhes em seus perfis. Isso incluiu nome de usuário, gênero, local/idioma, status de relacionamento, religião, cidade natal, cidade atual reportada, data de nascimento, tipos de aparelhos usados para acessar o Facebook, educação, trabalho, 10 últimos check-ins ou locais em que a pessoa foi marcada, website, pessoas ou Páginas que a pessoa segue, e as 15 pesquisas mais recentes. Para 1 milhão de pessoas, os invasores não acessaram qualquer informação.
As pessoas podem checar se foram afetadas visitando nossa Central de Ajuda. Nos próximos dias, enviaremos mensagens customizadas a cada uma das 30 milhões de pessoas afetadas para explicar quais informações os invasores podem ter acessado, bem como medidas que elas podem tomar para ajudar a se proteger, incluindo de emails maliciosos, mensagens de texto ou chamadas telefônicas.
Este ataque não incluiu Messenger, Messenger Kids, Instagram, Oculos, Workplace, Páginas, pagamentos, aplicativos de terceiros ou contas de desenvolvedores ou anunciantes. Enquanto investigamos outras formas pelas quais as pessoas que estão por trás deste ataque usaram o Facebook, bem como a possibilidade de ataques em menor escala, continuaremos a cooperar com o FBI, a Comissão Federal de Comércio dos Estados Unidos, a Comissão de Proteção de Dados da Irlanda e outras autoridades.