Companhia detalha a falha, que permitiu a tomada de contas pessoais dos usuários em uma das principais redes sociais do mundo
A ISH Tecnologia, referência nacional em cibersegurança, revela em um boletim detalhes sobre uma vulnerabilidade do Facebook. O bug, denominado “0-Click”, possibilitou invasores digitais a tomarem posse da conta de qualquer usuário da rede social.
O processo de invasão ocorria, por meio, da solicitação de redefinição de senha e toda a etapa que envolvia a criação de um novo código para login no aplicativo. Entretanto, graças a um caçador de recompensas do Nepal, conhecido como “Samyp Arial”, o erro foi corrigido.
A fim de compreender e solucionar a vulnerabilidade na mídia digital, Samyp passou a estudar métodos digitais de desinstalação e reinstalação do aplicativo. Além disso o nepalês descobriu algumas características peculiares referente ao processo de redefinição de senha e suas indicações. Na ocasião, o Facebook possibilitava a criação de uma nova senha por notificação e era, por meio dessa operação que a invasão de contas ocorria.
Passo a Passo de como eram realizadas as invasões:
- Escolher qualquer conta do Facebook;
- Tentar realizar o login com o usuário e solicitar uma redefinição de senha
(Esqueci a senha). - Entre as opções de redefinição disponíveis, escolher “Enviar código via
notificação do Facebook”. - Isso cria uma solicitação POST. Como parte de uma solicitação POST, uma
quantidade arbitrária de dados de qualquer tipo pode ser enviada ao
servidor no corpo da mensagem de solicitação. - Copiar a solicitação POST e usar um método para testar todas as 100.000
possibilidades. (Observe que 100.000 possibilidades podem parecer muito,
mas dado o período de duas horas, existem muitas opções). - O código correspondente responde com um código de status 302, um
redirecionamento que confirma que a pesquisa foi bem-sucedida. - Utilizar o código correto para redefinir a senha da conta, assim o invasor poderá
agora assumir o controle da conta.
Após analisar o processo de redefinição de senhas, Samyp afirmou que o método utilizado por invasores para acessar os perfis dos usuários era simples, e se baseava exclusivamente na redefinição de senha por notificação. Desse modo, Arial comunicou ao Facebook sobre a falha, e a rede social logo corrigiu o problema. Como forma de retribuir ao nepalês, a plataforma online o recompensou.
A ISH Tecnologia, devido ao ocorrido, destaca alguns pontos em que os usuários das redes sociais precisam se atentar, com o objetivo de evitar situações como essa:
- Prestar atenção aos sinais de que uma solicitação de senha foi iniciada;
- Não utilizar a opção de login do Facebook em outras plataformas;
- Ativar a autenticação de dois fatores (2FA) para o Facebook.
