Facebookは2019年から大規模なデータ漏洩を認識していたが、誰にも警告していない

Facebookはブログ投稿の中で、5億3,300万人のユーザーのデータ漏洩を引き起こした欠陥が2019年から同社のサービスに知られていたことを認めた。その存在をメディアや当局に通知したと主張した後、同グループはひっくり返して暴露した。それは実際には別の違反であるということです。同氏によると、後者は被害者に実際には脆弱性が存在していなかったために、被害者に情報を提供するのは適切ではないと判断したという。

今週末、ハッカーがフランス人2000万人を含む5億3300万人のFacebookユーザーの個人データを公開した。それは間違いありませんソーシャルネットワークの歴史の中で最も重要なリークの1つただし、これは初めての試みではありません。公開されている情報の中から、プロフィール名、電話番号、または電子メールアドレスさえも。マーク・ザッカーバーグ氏のグループは4月6日、製品管理ディレクターのマイク・クラーク氏を迎えてこのテーマについて講演した。

後者は、漏洩の原因となった欠陥を報告しています。2019年からFacebookに知られるようになった。同年8月にはすぐに封印されるはずだった。しかし、マイク・クラークが認めているように、問題は残っています。問題の違反は宣言の対象ではなかった、その後数か月で明らかになった他の2つの同様の事件とは異なります。思い出してください、9月に私たちは次のことを知りました。4 億 1,900 万件の電話番号が野に放たれた。 12月はこんな時期でした番号が漏洩したユーザー数は 2 億 6,700 万人。

マイク・クラーク氏は、ハッカーが使用したのは連絡先インポート機能の欠陥。すぐに検出され修正されましたが、何回使用されたかを知ることはできません。これまで、この事件に関するコミュニケーションは、2019 年 9 月に掲載されたフォーブスの記事での短いコメントに限られていました。当時、サイバーセキュリティ研究者が Instagram のアドレス帳の脆弱性を発見しました。 Facebookの反応「社内で発見されたおかげで、すでに問題に気づいています」、問題がその後解決されたことを確認する前に。

しかし、問題のフォーブスの記事は、前回とはまったく異なる欠陥に関するものです、この 2 つは比較的似ていますが。したがって、Facebookは当局にもユーザーにも、データが盗まれた可能性があることを実際には警告しなかった。アイルランドデータ保護委員会は、次のようにしてこの状況を確認しています。「Facebookから積極的な連絡を受け取っていません」これについて。

同じテーマについて:Facebook ハッキング — 私のデータが危険にさらされているかどうかを知る方法

「以前のデータベースは、Facebook の Web サイトに対する大規模なハッキングを受けて 2019 年と 2018 年にリリースされました。Facebook によると、このハッキングは 2017 年 6 月から 2018 年 4 月の間に発生し、このときソーシャルネットワークは電話番号検索機能の欠陥を修正しました」»、委員会について説明します。「ハッキングがGDPR以前に行われたことを考えると、[2018 年から適用、編集者注]、FacebookはGDPRに基づく個人データ侵害として通知しないことを選択した。最近リリースされたデータベースには、2018 年 (GDPR 以前) の元の情報がすべて含まれており、おそらく後で収集される他のデータと結合されているようです。 »

Facebookは危険な方法で自らを正当化する

マーク・ザッカーバーグのグループ、さらに、彼も漏洩の影響を受けましたは、彼によると次のような理由から、欠陥を報告するのは適切ではないと考えたと説明しています。ウェブ上にはすでに多くのユーザーデータベースが存在します。さらに、この脆弱性を悪用するには、被害者の電話番号を見つけて名前をそれに関連付ける必要がありました。 Facebook にとって、それを断言するのにこれ以上何も必要ありません。彼は電話番号の漏洩について責任を負いませんマイク・クラークは次のように説明しています。「攻撃者がこのデータを入手したのは、当社のシステムをハッキングしたのではなく、2019 年 9 月以前に当社のプラットフォームから収集したことを理解することが重要です。」

したがって、正当ではあるがあまり慎重ではない機能と、データシステムの実際の欠陥との間には区別が必要です。この大規模な漏洩がどちらの影響によるものなのかはまだ判断されていない。しかし、被害者にとって違いはそれほど重要ではない、いずれの場合でも、個人情報が白昼堂々公開されるのを目にします。ハッカー側の観察も同様です。データの収集が可能になったため、ツールの性質は問題ではありません。さらに、彼はそれを可能にしました電話番号とその所有者の身元との関係、他のプライバシー侵害につながった可能性があります。

「パスワードやその他の極めて機密性の高いデータが含まれていないからといって、侵害が重要ではないと考えるのは間違いです。」サイバーセキュリティ専門企業ZeroFoxの脅威インテリジェンス担当ディレクター、ザック・アレン氏はこう推測する。「データが古いからといって事態はそれほど深刻ではないと言うのも間違いです。さらに、今日の電話番号は認証の形式として使用されることが多く、[状況を考えると] 非常に恐ろしいことになる可能性があります。」。

一方、Facebook は、欠陥、または見方によっては「弱点」によって引き起こされた損害を修復するための戦闘態勢にあると主張しています。「当社は、（データがホストされているサイトから）ユーザーのデータを削除する解決策に取り組んで、ユーザーのデータを保護することに重点を置いており、間違った理由で当社のツールを使用する悪意のある者に対して引き続き積極的に行動していきます。」とマイク・クラークは書いている。「このデータベースの流通や新しいデータベースの出現を常に防ぐことはできませんが、私たちにはこの任務を専門とするチームがいます。」

ソース：有線