Vazamento do Facebook: entenda como hackers ganharam acesso a 50 milhões de perfis

By: INTERVALO DA NOTICIAS

Texto: G1 – Imagem: Divulgação

O Facebook anunciou nesta sexta-feira (28) que hackers obtiveram acesso a 50 milhões de perfis na rede social. A investigação sobre o caso está em curso e ainda não se sabe quais dados foram acessados ou extraídos pelos hackers. O caso tem certas peculiaridades, pois é diferente dos vazamentos de dados de outros serviços, como o LinkedIn e o Yahoo.

Como medida de segurança, o Facebook encerrou todas as sessões de 90 milhões de usuários, o que obrigou muitas pessoas a refazerem login no site do Facebook e nos aplicativos de celular. Confira por quê.

O que é um 'token de acesso'?

Quando você digita seu usuário e senha para acessar o Facebook, esses dados são validados. Caso estejam corretos, o Facebook fornece um "token de acesso" ao aplicativo ou ao navegador web. Esse token é um código gerado no momento do acesso e fica registrado pelo Facebook para associar aquele token à sua conta.

O token funciona como uma espécie de "crachá": você digita a senha e recebe esse "crachá". A cada acesso ao Facebook, esse token é reenviado pelo navegador ou pelo aplicativo, ou seja, seu "crachá" é apresentado. É dessa forma que o Facebook "lembra" de você e sabe quem você é, sem que a sua senha precise ser transmitida a cada acesso. 

Continua depois da publicidade

Os hackers obtiveram esses tokens de acesso e não as senhas. Como o Facebook invalidou tokens de milhões de usuários, o site não mais reconhece os "crachás" gerados anteriormente para esses perfis. Fazer um novo login, digitando a senha, gera um novo "crachá", com um código único.

Como os tokens na prática funcionam como substitutos da senha, eles dão acesso a diversas partes do perfil. Certas funções (como a troca da senha ou a configuração da autenticação de duas etapas) exigem a própria senha ou acesso ao endereço de e-mail cadastrado. Segundo o Facebook, o acesso obtido pelos hackers tinha as mesmas permissões do acesso que é concedido o aplicativo de celular. 

Como os hackers obtiveram tokens de acesso

O token de acesso é gerado no momento do login e enviado apenas ao navegador ou aplicativo que informou a senha correta.

O que aconteceu é que havia outra parte do perfil capaz de gerar um token de acesso — o que não seria um problema, se essa parte do perfil só pudesse ser acessada por quem já tivesse um acesso validado.

Porém, essa parte do perfil — um criador de vídeos de aniversário — era, por erro, visível pela função "ver como". A função "ver como" existe para visualizar o próprio perfil como outra pessoa e saber, por exemplo, se um post ou informação pessoal sua fica visível para determinados amigos ou para o público. Não há motivo para um criador de vídeos ser exibido nesse caso.

O que os hackers descobriram é que, ao utilizar o "ver como", esse criador de vídeos — que precisava de autorização para cadastrar o vídeo em nome do usuário — gerava um token de acesso para o usuário escolhido no "ver como". Ou seja, o hacker poderia visualizar o próprio perfil como um amigo e assim extrair um token de acesso para a conta desse amigo. 

Continua depois da publicidade

A função "ver como" fica limitada aos amigos de cada perfil. Porém, uma vez em posse do token de seus amigos, o hacker poderia continuar o procedimento extraindo tokens de amigos deles, usando a função "ver como" como esses amigos — afinal, ele possui o "crachá" para se identificar como essas pessoas.

O Facebook identificou o problema quando hackers automatizaram esse processo, acessando milhões de perfis. Isso gerou um pico de acesso. Quando os engenheiros investigaram esse tráfego de dados, o ataque foi identificado.

Nem todos os acessos invalidados estão envolvidos

Embora o Facebook tenha estimado que 50 milhões de perfis tiveram suas credenciais roubadas pelos hackers, outros 40 milhões de usuários também tiveram seus tokens invalidados. Essas são pessoas que utilizaram o recurso de "Ver como" do Facebook no último ano. 

Esse segundo grupo teve seus tokens invalidados por cautela, mas a rede social ainda não informou quem pertence a qual grupo. No momento, não há como saber.

Embora se saiba que os hackers extraíram os tokens de acesso, não está claro se eles utilizaram esses tokens para extrair informações dos perfis. É possível que o Facebook tenha interrompido o ataque.

Múltiplas vulnerabilidades

O Facebook identificou três erros que levaram à viabilidade do ataque:

1. O criador de vídeo não deveria gerar um token de acesso
2. O criador de vídeo não deveria ser acessível pelo "ver como"
3. O criador de vídeo não deveria gerar um token de acesso em nome do usuário escolhido no "ver como". O token deveria ser sempre do dono do perfil original

A função "ver como" está suspensa enquanto o Facebook investiga o ocorrido. Porém, o ataque foi inteiramente viabilizado pelo criador de vídeos que gerava tokens de maneira imprópria.

 

OS COMENTÁRIOS NÃO SÃO DE RESPONSABILIDADES DO INTERVALO DA NOTICIAS. OS COMENTÁRIOS IRÃO PARA ANALISE E SÓ SERÃO PUBLICADOS SE TIVEREM OS NOMES COMPLETOS.

FOTOS PODERÃO SER USADAS MEDIANTE AUTORIZAÇÃO OU CITAR A FONTE