Nguyên Nhân Gây Ra Rò Rỉ Dữ Liệu 500 Triệu Người Dùng Facebook

Kể từ thứ Bảy, một kho dữ liệu khổng lồ từ Facebook đã lan truyền rộng rãi, đưa thông tin từ khoảng 533 triệu người dùng Facebook ra khắp internet. Dữ liệu bao gồm thông tin như tên hồ sơ, số ID Facebook, địa chỉ email và số điện thoại. Đây là loại thông tin có thể đã bị rò rỉ hoặc thu thập từ nguồn khác, nhưng đó lại là một nguồn tài nguyên khác nối tất cả các dữ liệu lại với nhau—và liên kết chúng với từng nạn nhân—trình bày những hồ sơ gọn gàng cho những kẻ lừa đảo, người mạo danh và những người gửi thư rác trên một đĩa bạch vàng. 

Phản ứng ban đầu của Facebook đơn giản là dữ liệu đã được báo cáo trước đó vào năm 2019 và công ty đã vá lỗ hổng cơ sở vào tháng 8 của năm đó. Tin cũ. Nhưng nếu nhìn gần hơn vào nơi dữ liệu này đến từ, sẽ xuất hiện một hình ảnh mờ mịt hơn nhiều. Thực tế, dữ liệu này, xuất hiện lần đầu trên web tăm tối tội phạm vào năm 2019, đến từ một vụ vi phạm mà Facebook không tiết lộ chi tiết quan trọng nào vào thời điểm đó và chỉ thừa nhận đầy đủ vào tối thứ ba trong một bài đăng trên blog được ghi là của giám đốc quản lý sản phẩm Mike Clark.

Một nguồn gốc của sự nhầm lẫn là Facebook đã trải qua nhiều vụ vi phạm và lộ diện từ đó dữ liệu này có thể đã xuất phát. Có phải là 540 triệu hồ sơ—bao gồm ID Facebook, bình luận, lượt thích và dữ liệu phản ứng—bị lộ ra bởi một bên thứ ba và được công bố bởi công ty bảo mật UpGuard vào tháng 4 năm 2019? Hay là 419 triệu hồ sơ người dùng Facebook, bao gồm hàng triệu số điện thoại, tên và ID Facebook, được thu thập từ mạng xã hội bởi những tác nhân xấu trước khi có sự thay đổi chính sách của Facebook vào năm 2018, đã bị tiết lộ công khai và được báo cáo bởi TechCrunch vào tháng 9 năm 2019? Có liên quan đến vụ scandal chia sẻ dữ liệu của bên thứ ba Cambridge Analytica vào năm 2018? Hay có liên quan gì đó đến vụ vi phạm dữ liệu Facebook lớn vào năm 2018, khiến cho thông tin truy cập và hầu hết dữ liệu cá nhân của khoảng 30 triệu người dùng bị rò rỉ?

“Tại điểm nào Facebook nói, 'Chúng tôi có một lỗi trong hệ thống, và chúng tôi đã thêm một bản sửa, do đó người dùng có thể bị ảnh hưởng'?” nói cựu chuyên gia công nghệ trưởng của Ủy ban Thương mại Liên bang Ashkan Soltani. “Tôi không nhớ thấy Facebook bao giờ nói như vậy. Và họ đang gặp vấn đề bây giờ, vì họ rõ ràng không thực hiện bất kỳ sự tiết lộ hoặc thông báo nào."

Trước khi đăng blog thừa nhận sự vi phạm, Facebook chỉ đến câu chuyện của Forbes như là bằng chứng cho việc công ty công khai nhận nhận thức về sự vi phạm người nhập liên lạc Facebook năm 2019. Nhưng câu chuyện của Forbes liên quan đến một phát hiện tương tự nhưng có vẻ không liên quan trong Instagram so với Facebook chính, nơi dữ liệu rò rỉ 533 triệu người dùng đến từ. Và Facebook thừa nhận rằng nó không thông báo cho người dùng rằng dữ liệu của họ đã bị chiếm đoạt cá nhân hoặc thông qua một thông báo an ninh chính thức của công ty.

Ủy ban Bảo vệ Dữ liệu của Ireland cho biết trong một tuyên bố vào thứ Ba rằng nó “không nhận được bất kỳ sự liên lạc tích cực nào từ Facebook" về sự vi phạm.

“Các bộ dữ liệu trước đó được xuất bản vào năm 2019 và 2018 liên quan đến việc kéo dài quy mô lớn trên trang web Facebook, vào thời điểm đó, Facebook thông báo rằng sự kiện diễn ra từ tháng 6 năm 2017 đến tháng 4 năm 2018 khi Facebook đóng cửa một lỗ hổng trong chức năng tìm kiếm số điện thoại của mình," theo dòng thời gian mà ủy ban đã tổ chức. "Vì việc kéo dài đã diễn ra trước GDPR, Facebook đã chọn không thông báo này như một vi phạm dữ liệu cá nhân theo GDPR. Bộ dữ liệu mới xuất bản có vẻ bao gồm bộ dữ liệu ban đầu năm 2018 (trước GDPR) và kết hợp với các bản ghi bổ sung, có thể từ giai đoạn sau đó."

Facebook cho biết họ không thông báo cho người dùng về việc khai thác người nhập liên lạc năm 2019 chính xác vì có quá nhiều bộ dữ liệu người dùng nửa công cộng—lấy từ Facebook chính nó và các công ty khác—trên thế giới. Ngoài ra, kẻ tấn công cần cung cấp số điện thoại và thao tác tính năng để đưa ra tên tương ứng và dữ liệu khác liên quan để lợi dụng hoạt động, điều mà Facebook đưa ra làm cơ sở để họ không tiết lộ số điện thoại chính nó. “Quan trọng là phải hiểu rằng những kẻ hành vi độc hại đã có được dữ liệu này không phải là do hack hệ thống của chúng tôi mà là bằng cách trích dẫn nó từ nền tảng của chúng tôi trước tháng 9 năm 2019,” Clark viết vào thứ Ba. Công ty đặt ra mục tiêu tạo ra một sự phân biệt giữa việc lợi dụng một điểm yếu trong một tính năng hợp lệ để trích dẫn hàng loạt và việc tìm ra một lỗ hổng trong hệ thống của mình để lấy dữ liệu từ phía sau. Tuy nhiên, điều đó vẫn là một sự lợi dụng lỗ hổng.

Nhưng đối với những người bị ảnh hưởng, đây là một phân biệt không có sự khác biệt. Kẻ tấn công có thể đơn giản chạy qua mọi số điện thoại quốc tế có thể và thu thập dữ liệu về kết quả. Lỗ hổng của Facebook cung cấp cho những kẻ hành vi xấu mối liên kết bị mất giữa số điện thoại và thông tin công cộng như tên.

Số điện thoại trước đây là công cộng trong danh bạ điện thoại và thường vẫn là nhưng khi chúng đã phát triển trở thành những người định danh phổ biến, kết nối bạn với các phần khác nhau của cuộc sống số của bạn, chúng đã đạt được ý nghĩa mới và giá trị tiềm ẩn đối với kẻ tấn công. Chúng thậm chí đóng vai trò trong xác thực nhạy cảm, bằng cách trở thành con đường thông qua đó bạn có thể nhận mã xác thực hai yếu tố qua tin nhắn SMS hoặc cuộc gọi điện thoại mà bạn cung cấp thông tin để xác nhận danh tính của mình. Ý nghĩa của số điện thoại đối với an ninh kỹ thuật số của bạn không phải là mới mẻ chút nào. 

“Đó là một quan niệm sai lầm nếu nghĩ rằng một sự vi phạm không nghiêm trọng chỉ vì nó không chứa mật khẩu hoặc dữ liệu cực kỳ nhạy cảm khác,” nói Zack Allen, giám đốc tình báo đe dọa tại công ty an ninh ZeroFox. “Đó cũng là một quan niệm sai lầm nếu nói rằng tình hình không tồi tệ chỉ vì đó là dữ liệu cũ. Và hơn nữa, số điện thoại làm tôi hoảng sợ như một hình thức xác thực, mà không may là cách chúng thường được sử dụng ngày nay.”

Phía Facebook, họ đã lạc quan sử dụng số điện thoại người dùng một cách không đúng đắn nhiều lần. Trước đây, chúng thường có thể được thu thập một cách dễ dàng trên quy mô lớn thông qua công cụ Graph Search API của công ty. Lúc đó, công ty không xem đó là một lỗ hổng bảo mật, vì Graph Search chỉ hiển thị số điện thoại và các dữ liệu khác mà người dùng thiết lập là công cộng trên hồ sơ của họ. Tuy nhiên, qua nhiều năm, Facebook bắt đầu nhận ra rằng là một vấn đề khi làm cho dữ liệu như vậy dễ trích dẫn, ngay cả khi người dùng cá nhân chọn công bố dữ liệu của họ. Tính tổng hợp, thông tin vẫn có thể tạo điều kiện cho lừa đảo và lừa đảo trên một quy mô mà cá nhân có lẽ không có ý định.

Năm 2018, Facebook thừa nhận rằng họ đã nhắm mục quảng cáo dựa trên số điện thoại xác thực hai yếu tố của người dùng. Cùng năm đó, công ty cũng vô hiệu một tính năng cho phép người dùng tìm kiếm người khác trên Facebook bằng cách sử dụng số điện thoại hoặc địa chỉ email của họ—một cơ chế lại bị lạm dụng bởi người trích dẫn. Theo Facebook, đây chính là công cụ mà các tội phạm mạng đã sử dụng để thu thập dữ liệu mà TechCrunch đưa tin vào năm 2019.

Tuy nhiên, bằng cách nào đó, bất chấp những động thái này và những nỗ lực khác để bảo vệ số điện thoại người dùng, Facebook vẫn không tiết lộ đầy đủ về việc xâm phạm dữ liệu năm 2019. Tính năng nhập liên lạc đang gặp khó khăn một cách nhất định, và công ty cũng sửa các lỗ hổng trong đó vào năm 2013 và 2017.

Trong khi đó, Facebook đã đạt được một thoả thuận lịch sử với FTC vào tháng 7 năm 2019 về những vấn đề bảo mật dữ liệu đáng lo ngại một cách khổng lồ. Trao đổi cho việc trả phạt 5 tỷ đô la và đồng ý với những điều kiện nhất định, như ngừng sử dụng thay thế của mình cho số điện thoại liên quan đến bảo mật, Facebook đã được bảo vệ cho tất cả các hoạt động trước ngày 12 tháng 6 năm 2019.

Việc khai thác người nhập liên lạc có xảy ra sau ngày đó—và do đó nên đã được báo cáo cho FTC—vẫn là một câu hỏi còn mở. Điều chắc chắn trong tất cả điều này là hơn 500 triệu người dùng Facebook trực tuyến ít an toàn hơn so với những gì họ có thể trở thành—và có thể là mục tiêu cho một làn sóng lừa đảo và lừa đảo mới mà Facebook đã có thể cảnh báo cho họ gần hai năm trước đây.

Nhiều điều tuyệt vời khác từ MYTOUR

• 📩 Tin tức mới nhất về công nghệ, khoa học và nhiều hơn nữa: Nhận bản tin của chúng tôi!
• Một lời nguyền di truyền, một bà mẹ sợ hãi và sự nỗ lực để “sửa” phôi thai
• Larry Brilliant có kế hoạch để tăng tốc kết thúc đại dịch
• “Đội X Đỏ” của Facebook săn lùng lỗ hổng ngoài tường
• Làm thế nào để chọn máy tính xách tay phù hợp: Hướng dẫn từng bước
• Tại sao trò chơi với kiểu dáng cổ điển nhận được nhiều tình yêu như vậy
• 👁️ Khám phá trí tuệ nhân tạo như chưa bao giờ có với cơ sở dữ liệu mới của chúng tôi
• 🎮 MYTOUR Games: Nhận các mẹo, đánh giá và nhiều hơn nữa
• 🎧 Âm thanh không ổn đang đến từ đâu? Hãy kiểm tra tai nghe không dây, thanh âm và loa Bluetooth yêu thích của chúng tôi