O Facebook disse na terça-feira que ainda não possui evidências que os atacantes responsáveis pelo gigante data breach da semana passada tenham acedido a apps terceiras (third-parties) através das tokens vazadas.
Os atacantes responsáveis pelo data breach, que impactou pelo menos 50 milhões de utilizadores, exploraram a vulnerabilidade do Facebook para vazar as access tokens dos utilizadores — chaves digitais que são usadas para manter os utilizadores e apps autenticadas.
Depois do Facebook identificar a violação, mais de 90 milhões de tokens foram reseted, e os utilizadores tiveram que voltar a autenticar-se no Facebook e também alterar as tokens das aplicações terceiras.
Guy Rosen, Facebook VP, disse que durante a analise ainda não foram identificadas evidências que apps terceiras tenham sido comprometidas via as tokens vazadas pelos atacantes.
In a blog post, Facebook’s VP of Product Management Guy Rosen said the company has now analyzed its logs for all third-party apps installed or logged during the attack. There’s no evidence so far of breached third-party apps, he said.
Uma vez que o Facebook fez “reset” a todos os tokens, os developers têm de voltar a validar os tokens de acesso das apps terceiras que comunicam com o Facebook.
Mas, para ter certeza de que o problema está resolvido para todos, o Facebook está a desenvolver uma ferramenta para permitir que os developers identifiquem manualmente qualquer um dos seus utilizadores afetados no data breach.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.