חוקרי אבטחה: פרצה בפייסבוק עלולה לאפשר השתלטות על חשבונות

פרצה בפייסבוק (Facebook) עלולה לאפשר לגורמים עוינים להשתלט על חשבונות בזמן שהמשתמשים לוחצים על קישורים באתרי אינטרנט אחרים – כך הזהיר אתמול (ב') ניטש דנג'ני, חוקר אבטחה. לדבריו, פרצה נוספת מאפשרת לגורמים מצד שלישי לגשת לפרטים בפרופילים של המשתמשים מבלי שאלה מביעים הסכמה מפורשת לכך.

בעבר הוצגה בפייסבוק אזהרה בחלון קופץ לפני שהמשתמשים הוסיפו יישומונים שיכולים לגשת לפרטים בפרופיל. כך, היה ביכולתם להתחרט ולא להוסיף את היישומון. כעת שונתה המדיניות, וחלק מהיישומונים יכולים לגשת כעת לנתונים באמצעות מנגנון חדש שאינו דורש הסכמה מפורשת של המשתמשים.

"מבחינתה של פייסבוק, המדיניות החדשה מעודדת אימוץ של יישומונים מצד שלישי ומגדילה את ההכנסות", טען דנג'ני. לדבריו, הסיבה לכך היא שהאזהרות עלולות להרתיע את המשתמשים שיבחרו שלא להתקין את היישומון.

דובר פייסבוק מסר בתגובה, כי "המידע היחיד שאליו יכולים היישומונים לגשת מבלי שמוצגת אזהרה הוא המידע הזמין ממילא לכלל הגולשים באינטרנט: שם, התמונה המוצגת בפרופיל, מגדר, רשתות, רשימת חברים ודפי אינטרנט".

בהודעה נפרדת מסרו דנג'ני וחוקר האבטחה הישראלי שלומי נרקולייב, כי תוקפים יכולים להשתלט על חשבונות בפייסבוק לאחר שהם מפתים את המשתמשים ללחוץ על קישורים באתרים עוינים. אתרים כאלה, שמתחזים לאתרי סחר אלקטרוני או וידיאו, כוללים קישורים תמימים לכאורה, למשל להצגת סרטון. בפועל, מוביל הקישור לחשבון של המשתמש בפייסבוק, מבלי שהוא מודע לכך.

נרקולייב כתב בהודעה שפרסם בבלוג, כי "בשיטה זו אפשר לגרום למשתמשים ללחוץ על כל קישור שרוצים. ניתן לגרום לו, למשל, להוסיף את הגורמים העוינים שמפעילים את התרמית כחברים בפייסבוק, ואפילו להפעיל את המצלמה והמיקרופון בגרסאות שונות של טכנולוגיית פלאש (Flash), או להתקין יישומון שמציג את התמונה ומשמיע את הקול מהמצלמה והמיקרופון בכל פעם שמתחברים לרשת החברתית". דוגמה למתקפה מוצגת בסרטון וידיאו באתר של נרקולייב. לדבריו גם אתרים אחרים חשופים למתקפות דומות.

לדברי דובר פייסבוק, הדוגמה הזו ממחישה מתקפה גנרית, שאינה ייחודית דווקא לרשת החברתית הפופולרית. הוא הוסיף, כי "אנחנו מפעילים אמצעי הגנה מיוחדים נגד מתקפות כאלה ומזכירים למשתמשים לפעול בזהירות רבה כאשר הם נתקלים בהודעות, פרסומים או קישורים, אצלנו או באתרים אחרים, במיוחד כאשר יש סיבה לחשש. כמו כן, ברגע שאנו מגלים אתר שמפעיל מתקפות נגד המשתמשים שלנו, אנחנו מוסיפים אותו לרשימה השחורה, על מנת שלא ניתן יהיה להוסיף ולהפיץ את התרמית ברשת".