Nach einem Update bei Facebook war eine wichtige Sicherheitsmaßnahme deaktiviert, wodurch sämtliche Nutzerkonten zeitweise angreifbar wurden.
Der Cracker Anand Prakash berichtet in seinem Blog von einer besonders gefährlichen Sicherheitslücke, die er kürzlich bei Facebook entdeckt hatte. Die Schwachstelle hatte mit geringem Aufwand vollen Zugriff auf alle Benutzerkonten ermöglicht.
Vergisst ein Nutzer sein Passwort, kann er ein neues anfordern. Er erhält daraufhin von Facebook eine sechsstellige PIN an die, in seinem Konto hinterlegte, E-Mail-Adresse oder Telefonnummer. Gibt er diese anschließend auf der Website ein, kann er ein neues Passwort vergeben. Doch eine sechsstellige Zahlenkombination ist mit nur einer Million möglichen Kombinationen schnell von Computern durch Ausprobieren zu knacken. Darum werden Anfragen normalerweise nach rund 10 Versuchen blockiert.
Auf der Beta-Test-Seite von Facebook war dieser Sicherheitsmechanismus jedoch nach einem Update deaktiviert und ermöglichte Prakash daher in Sekunden sein eigenes Benutzerkonto zu knacken.
Mit diesem Wissen hätte er sich Zugang zu den Nachrichten, Fotos, Kreditkartendaten usw. von jedem beliebigem Benutzerkonto verschaffen können – selbst dem vom Facebook-Gründer und CEO Mark Zuckerberg persönlich. Stattdessen meldete er den Fehler unverzüglich an das Unternehmen, welches die Lücke innerhalb von 48 Stunden wieder schloss. Prakash erhielt eine Belohnung in Höhe von 15.000 Dollar (rund 13.600 Euro) – was rund einem Cent pro tausend Accounts entspricht.
Facebook account takeover vulnerability from Anand Prakash on Vimeo.
20 Gedanken zu „15 Tausend Dollar Belohnung: Hacker hatte Zugang zu allen Facebook-Konten“
Die Kommentare sind geschlossen.