Carian telefon Facebook boleh disalahgunakan untuk mencari nombor orang, para penyelidik mengatakan

Penyerang boleh menyalahgunakan ciri carian telefon Facebook untuk mencari nombor telefon yang sah dan nama pemilik mereka, menurut para penyelidik keselamatan.

Serangan itu mungkin kerana Facebook tidak mengehadkan jumlah pencarian nombor telefon yang boleh dilakukan oleh pengguna melalui versi mudah alih laman webnya, Suriya Prakash, seorang penyelidik keselamatan bebas berkata dalam catatan blog baru-baru ini.

Facebook membolehkan pengguna untuk mengaitkan nombor telefon mereka dengan akaun mereka. Jika benar, nombor telefon mudah alih diperlukan untuk mengesahkan mana-mana akaun Facebook baru dan ciri kunci seperti upload video atau pemperatur URL masa.

[Bacaan lanjut: Bagaimana untuk menghapuskan malware dari Windows PC Anda]

Apabila menambah nombor telefon dalam seksyen "Maklumat Hubungan" di halaman profil Facebook masing-masing, pengguna boleh memilih jika mereka ingin membuat maklumat ini kelihatan kepada orang awam, hanya kepada rakan-rakan mereka atau jika mereka mahu menyimpannya sendiri, yang merupakan pilihan privasi yang baik.

Facebook juga membolehkan pengguna mencari orang lain di laman web ini dengan mencari nombor telefon mereka dalam format antarabangsa.

Pengguna boleh mengawal siapa yang boleh mencari mereka menggunakan kaedah ini melalui pilihan di bawah "Tetapan Privasi"> "Bagaimana Anda Sambung ">" Siapa yang boleh melihat anda menggunakan alamat e-mel atau nombor telefon yang anda berikan? " yang ditetapkan secara lalai kepada "Semua orang."

Ini bermakna walaupun anda menetapkan keterlihatan nombor telefon anda kepada "Saya hanya" di halaman profil anda, sesiapa yang mengetahui nombor telefon anda masih dapat mencari anda di Facebook melainkan anda menukar tetapan kedua kepada "Kawan" atau "Kawan kawan-kawan." Tiada pilihan untuk menghalang semua orang daripada mencari profil anda menggunakan nombor telefon anda.

Oleh kerana kebanyakan orang tidak menukar nilai lalai dari tetapan ini, mungkin penyerang untuk menghasilkan senarai nombor-nombor telefon berurut dalam pilihan julat-contohnya dari pengendali khusus-dan gunakan kotak carian Facebook untuk mengetahui siapa mereka milik, kata Prakash. Menyambung nombor telefon rawak kepada nama adalah impian setiap pengiklan dan senarai semacam itu akan memperoleh harga yang besar di pasaran gelap, katanya.

Prakash mendakwa bahawa dia berkongsi senario serangan ini dengan pasukan keselamatan Facebook pada bulan Ogos dan selepas sambutan awal pada 31 Ogos semua e-melnya tidak dijawab sehingga 2 Oktober, apabila wakil Facebook membalas dan mengatakan bahawa kadar di mana pengguna boleh didapati di laman web melalui apa-apa cara, termasuk nombor telefon, adalah terhad.

Walau bagaimanapun, versi mudah alih dari laman web Facebook-m.facebook.com -tidak nampak mempunyai had laju carian, Kata Prakash.

Penyelidik menghasilkan nombor dengan awalan negara AS dan India dan mencipta bukti mudah- skrip makro konsep (PoC) yang mencari mereka di Facebook dan menyelamatkan orang-orang yang didapati dikaitkan dengan profil Facebook, bersama-sama dengan nama pemiliknya.

Prakash berkata bahawa dia memutuskan untuk mendedahkan kerentanan secara terbuka beberapa hari belakang Er menghantar skrip PoCnya ke Facebook, kerana syarikat itu tidak bertindak balas. Prakash juga menerbitkan 850 nombor telefon yang dihantui dan nama-nama bersekutu yang, katanya, mewakili sebahagian kecil data yang diperolehnya semasa ujiannya.

"Sudah seminggu kira-kira sejak saya mula menjalankannya dan saya masih belum telah disekat, "kata Prakash hari ini melalui e-mel.

Ujian penyelidik lain

Pendedahan awam Prakash Prakash, Tyler Borland, seorang penyelidik keselamatan dengan penjual keselamatan rangkaian Alert Logic, mencipta skrip yang lebih cekap yang boleh berjalan sehingga sepuluh proses carian telefon Facebook pada masa yang sama. Skrip Borland dipanggil "crawler telefon Facebook" dan boleh mencari nombor telefon dari julat yang ditetapkan pengguna.

"Dengan tetapan lalai saya dapat mengesahkan data untuk 1 nombor telefon setiap saat," kata Borland melalui e-mel pada hari Isnin. "Mereka [Facebook] tidak mempekerjakan apa-apa jenis pembatasan kadar atau saya belum memukul had itu. Sekali lagi, saya menghantar beratus-ratus permintaan dalam jangka masa yang singkat dan tiada apa yang berlaku."

Dengan skrip Borland berjalan pada tahap yang besar botnet-lebih 100,000 komputer-penyerang boleh mencari nombor telefon dan nama pengguna Facebook yang paling banyak dengan nombor mudah alih yang berkaitan dengan akaun mereka dalam masa beberapa hari, kata Prakash.

Adalah mengganggu kelemahan ini masih terbuka dan terdapat alat awam yang tersedia untuk mengeksploitinya, kata Bogdan Botezatu, penganalisis e-ancaman senior di vendor antivirus Bitdefender, melalui e-mel pada hari Isnin. Sangat sedikit pengguna mengubah tetapan privasi lalai mereka, kata beliau.

Ini adalah satu lagi contoh bagaimana ciri hebat dapat disalahgunakan jika mekanisme keselamatan kurang dilaksanakan atau hilang sepenuhnya, kata Botezatu. "Tidak seperti mesej e-mel atau komen blog, mendekati pengguna melalui telefon adalah jauh lebih berkesan dalam serangan kilat suara [suara phishing], kebanyakannya kerana pengguna komputer tidak menyedari hakikat bahawa nombor telefonnya mungkin telah berakhir di Digabungkan dengan maklumat pengguna dalam profil mereka, penyerang dapat meyakinkan pengguna untuk menyerahkan maklumat peribadi dalam waktu singkat. "

Serangan phishing suara dan penipuan telefon jenis lain adalah umum dan kadar kejayaan mereka sudah tinggi, Botezatu berkata, "Sekarang bayangkan bahawa Crooks ini alamat anda dengan nama penuh anda dan menyokong penyataan mereka dengan maklumat tentang anda diambil langsung dari profil [Facebook] anda." Botezatu berkata.