Più di 267 milioni di nomi utente e numeri di telefono di utenti Facebook sono stati esposti in un database im chiaro disponibile online.
Se questa notizia suona familiare è perché la stessa cosa è successa a settembre, quando sono stati esposti oltre 400 milioni di dati presenti su Facebook. Questa volta, sembra però che l’azienda non abbia colpe, o almeno non direttamente.
Comparitech ha collaborato con il ricercatore di sicurezza Bob Diachenko per scoprire le funzioni del cluster Elasticsearch. Secondo le prove, Diachenko ritiene che la raccolta di dati sia molto probabilmente il risultato di un’operazione di scraping illegale o di abuso dell’API di Facebook da parte di criminali in Vietnam. Le informazioni contenute nel database potrebbero essere utilizzate per condurre campagne di spam e phishing su larga scala tramite SMS.
Diachenko ha immediatamente informato il fornitore di servizi Internet che gestiva l’indirizzo IP del server in modo che l’accesso potesse essere bloccato. Tuttavia, il ricercatore afferma che i dati sono stati già pubblicati su un forum di hacker dal 4 al 18 dicembre.
Il modo in cui i criminali hanno ottenuto gli ID utente e i numeri di telefono non è del tutto chiaro. Una possibilità è che i dati siano stati rubati dall’API per sviluppatori di Facebook prima che la società limitasse l’accesso nel 2018. L’API di Facebook viene utilizzata dagli sviluppatori di app per aggiungere un contesto “sociale” alle loro applicazioni accedendo ai profili degli utenti, all’elenco di amici, ai gruppi, alle foto, e dati dell’evento. I numeri di telefono erano disponibili per gli sviluppatori di terze parti prima del 2018.
Diachenko afferma che l’API di Facebook potrebbe anche avere una falla nella sicurezza che consentirebbe ai criminali di accedere agli ID utente e ai numeri di telefono anche dopo che l’accesso è stato limitato. Un’altra possibilità è che i dati siano stati rubati senza utilizzare l’API di Facebook, ma semplicemente estraendoli da pagine con profilo pubblico.
A prescindere dal motivo, ancora una volta Facebook si dimostra una piattaforma non certo sicura.