O Facebook não está certamente a ter um dos seus melhores anos, com vários casos de problemas de privacidade e segurança dentro da plataforma. Apesar disso, ainda continuam a surgir revelações de possíveis falhas que podem ter sido utilizadas para obter acesso a registos de utilizadores no serviço.
De acordo com a revelação de um investigador da empresa Imperva, foi recentemente descoberta uma vulnerabilidade no Facebook que pode permitir a recolha de informação pessoal dos utilizadores e dos seus amigos, colocando novamente esta informação em risco. A falha encontra-se localizada sobre o sistema de pesquisa da plataforma e na forma como esta os apresenta.
De acordo com o investigador Ron Masas, a página que apresenta os resultados de pesquisa aos utilizadores conta com alguns iframes escondidos, os quais utilizam pontos de acesso dentro da plataforma. O investigador descobriu que estes pontos não se encontram protegidos contra ataques CSRF, podendo ser utilizados para abusos no sistema. De sublinhar que esta falha já terá sido corrigida depois de os investigadores terem reportado a mesma, e também não poderia ser utilizada para uma recolha massiva de informações, mas sim apenas para ataques individuais.
Para aproveitar o ataque, as vitimas apenas necessitavam de aceder a um website malicioso enquanto estivessem ligadas no Facebook. O código contido neste site seria executado em segundo plano assim que a vitima clicasse em algum local da página.
Assim que a vitima clica em algo, o site abre em segundo plano uma nova janela no sistema de pesquisa do Facebook, recolhendo informação da mesma para os atacantes – tudo isto sem que o utilizador possa ter tempo de se aperceber.
Apesar disso, este ataque seria bastante rudimentar e traria pouca informação para os possíveis atacantes. No entanto poderia ser utilizado para obter alguma informação pessoal dos utilizadores, como por exemplo:
- Se a vitima possui um amigo de nome especifico ou segue uma determinada página/grupo
- Se um amigo gostou de uma determinada página
- O número de fotos capturadas sobre um determinado local
Este são apenas alguns dos exemplos apontados e que podiam ser recolhidos para ataques específicos. A Imperva terá reportado a falha ao Facebook em Maio de 2018, mas apenas agora a falha foi tornada do conhecimento público. Não existem relatos que a mesma tenha sido utilizada para ataques em larga escala.
Nenhum comentário
Seja o primeiro!