Vulnerabilitatea datelor ținute în platforme sociale

În ultima lună au reieșit niște vulnerabilități exploatate pe platformele sociale care au făcut ca Google+ în cele din urmă să se închidă iar Facebook să reacționeze foarte ciudat la unele articole apărute care tratau scăparea acestora.

Astăzi mi-a apărut în cele din urmă și mie notificarea că informațiile de pe contul meu au fost accesate neautorizat și am studiat puțin genul de informații accesate.

Facebook spune următoarele:

Am ajuns la concluzia că atacatorii au folosit codurile de acces pentru a obține acces neautorizat la informațiile de cont ale aproximativ 30 de milioane de conturi de Facebook.[…]
Pe baza a ceea ce am aflat până acum în urma investigației noastre, atacatorii au accesat următoarele informații din conturile de Facebook:
  • numele;
  • adresa de e-mail principală;
  • numărul de telefon adăugat cel mai recent.
În plus, atacatorii au accesat și alte informații din cont, inclusiv:
  • următoarele informații asociate cu contul tău de Facebook:
    • numele de utilizator;
    • data nașterii;
    • sexul;
    • tipurile de dispozitive pe care le-ai folosit pentru a accesa Facebook;
    • limba în care ai ales să folosești Facebook.
  • Dacă ai adăugat anterior aceste informații în contul tău de Facebook, au fost accesate și următoarele:
    • situația amoroasă;
    • religia;
    • orașul natal;
    • orașul actual;
    • locul de muncă;
    • educația;
    • site-ul web;
  • cele mai recente 10 locații pe care le-ai vizitat sau în care ai fost etichetat. Aceste locații sunt determinate în funcție de locurile denumite în postări, cum ar fi un reper sau un restaurant, nu în funcție de datele despre locație de pe un dispozitiv.
  • cele mai recente 15 căutări pe care le-ai introdus în bara de căutare de pe Facebook;
  • persoanele și Paginile pe care le urmărești pe Facebook.

Practic, chiar dacă atacatorii nu au avut acces la parola mea, au obținut informații care nu pot fi accesate decât în urma unui login. Iar informația referitoare la ultimele 15 căutări presupune o acțiune suplimentară de interogare, nu doar scrapping banal de date cum face orice aplicație autorizată.

Iar întrebarea pe care o consider acum legitimă este dacă cumva pe aceeași metodă nu s-ar fi putut obține și informații legate de conversații.

Ce ar putea face atacatorii cu aceste informații obținute în urma unor vulnerabilități? Să le vândă.

Accesarea a doar 30 (în unele informații 90) milioane de conturi este cumva doar o părticică mică în Facebook, iar întrebarea este de ce vulnerabilitatea a fost exploatată pe o bază atât de mică de utilizatori. Să fi fost oare doar conturi care au și cont de advertiser?

În orice caz, nu mă face să mă simt foarte încrezător în a-mi oferi datele la Facebook sau către altă platformă atât de masiv, mai ales cu astfel de erori. Facebook se vrea o agregare de informație despre viață, o astfel de situație privind un leak este ceva foarte serios.
Da, e drăguț să primesc remindere că acum 8 ani făceam un anume lucru și mă pozam alături de X și Y, dar parcă beneficiile nu sunt atât de mari precum valoarea efectivă a informației pe care o ofer platformei.

În altă ordine de idei, desigur că putem face același raționament și pentru Google, Google însă am impresia că ține datele utilizatorilor în varii clustere. Iar fără Google nu prea poți.

Tehnologia deși ne ajută să comunicăm și să împărtășim mai multe informații este foarte vulnerabilă iar ownership-ul datelor nu este la noi. Din modul de comunicare și prezentare a situației, platformele vor spune că le pare rău, dar nu își vor asuma nimic, niciodată.

Abonează-te la newsletter și primești săptămânal un rezumat cu ultimele articole publicate!



Be the first to comment

Leave a Reply

Your email address will not be published.


*