מאות מיליוני מספרי טלפון של משתמשי פייסבוק התגלו במאגר חשוף

מאות מיליוני מספרי טלפון המקושרים לחשבונות פייסבוק התגלו בבסיס נתונים אונליין חשוף, כך דיווח TechCrunch.

לפי הפרסומים, כל רשומה בשרת החשוף החזיקה את מזהה הפייסבוק הייחודי של המשתמש – מחרוזת מספרים ארוכה שהוקצתה לכל משתמש בפלטפורמה – ואת מספר הטלפון המשויך לחשבון המשתמש. בתוך השרת החשוף התגלו כמה מאגרי נתונים, שבסך הכל כללו רשומות של יותר מ-419 מיליון חשבונות, ביניהן 133 מיליון רשומות של משתמשי פייסבוק בארה"ב, 18 מיליון רשומות של משתמשים בבריטניה, ולמעלה מ-50 מיליון רשומות של משתמשים בווייטנאם.

בסיס הנתונים התגלה על ידי סניאם ג'יין, חוקר אבטחה וחבר בקרן GDI, שהצליח למצוא בין מספרי הטלפון שהופיעו במאגר כאלו המקושרים לפרופילים של סלבס. הוא העביר את שחשף ל-TechCrunch, מאחר שלא הצליח לקבוע מי בעליו של המאגר. אלא שגם זאק וויטקר, הכתב של TechCrunch, דיווח כי "לאחר סקירת הנתונים, גם אנחנו לא יכולנו לעשות זאת, אבל לאחר שיצרנו קשר עם המארחת באינטרנט, בסיס הנתונים ירד מהאוויר", הוא סיפר.

בהמשך, עם זאת, TechCrunch הצליחה לאמת מספר רשומות במסד הנתונים, על ידי התאמת מספר הטלפון של משתמש פייסבוק ידוע למזהה הפייסבוק הייחודי שלו. בהמשך נבדקו רשומות הקשורות למשתמשים לא ידועים בפייסבוק, על ידי התאמת מספרי טלפון מהתיעודים עם תכונת איפוס הסיסמה של פייסבוק, אשר חושפת חלקית את מספר הטלפון המקושר של המשתמש. בחלק מהמקרים הרשומות הכילו מידע אישי נוסף, כגון שם המשתמש, מינו ואפשר גם את המיקום שלו. מכל אלו נגזרה המסקנה המתבקשת כי המאגר שייך לפייסבוק ומייצג נתונים על משתמשיה.

מאגר ישן ש"גורד" מפייסבוק מזמן

יצוין כי באפריל 2018 הודיעה פייסבוק כי היא תגביל את הגישה לנתונים בפלטפורמה, כולל גישה למספרי הטלפון של המשתמשים. דובר פייסבוק אמר ל-TechCrunch כי הנתונים שהתגלו בבסיס הנתונים כנראה "גורדו" מפייסבוק לפני שהמגבלות נכנסו לתוקף. "מאגר נתונים זה ישן, ונראה שיש בו מידע שהושג לפני שביצענו שינויים בשנה שעברה בכדי להסיר את היכולת של אנשים למצוא משתמשים אחרים לפי מספרי הטלפון שלהם," אמר הדובר שהמשיך וציין כי "הדטה במאגר הוסר ולא ראינו שום הוכחה לכך שחשבונות פייסבוק נפגעו".

למרות דברי הדובר, במרץ השנה מצאה חוקרת האבטחה וכתבת הניו יורק טיימס, זיינפ טופקי, שפייסבוק מאפשרת לכל אחד לחפש משתמש באמצעות מספר הטלפון שלו – אותו מספר שהיה אמור לשמש למטרות אבטחה בלבד ולהישמר היטב רק כדי לשמש כאחת משלבי האימות של שני-גורמים – 2FA (ר"ת two-factor authentication). חמור מכך, היא מצאה כי פייסבוק לא מאפשרת למשתמשים לבטל את הפרת הפרטיות הזו. הדבר היחיד שהמשתמשים יכולים לעשות בכדי למזער נזקים הוא להגביל את החיפוש אחריהם באמצעות מספר הנייד ל"חברים" בלבד, אבל לא להסתיר אותו כליל מהחיפוש.

נתונים חשופים כדוגמת אלו שהתגלו עלולים להעמיד את משתמשי הרשת החברתית הדומיננטית בסכנת שיחות דואר זבל ומתקפות החלפת SIM – מהלך שאפשר שבו עשו שימוש פורצי חשבונו של ג'ק דורסי מנכ"ל טוויטר לאחרונה – שיכולות להתבצע כאשר תוקף משכנע את ספקית הסלולר להקצות מספר טלפון של אדם אחר למכשיר שלהם. מהלך כזה נותן לתוקף את היכולת לאפס סיסמאות לכל חשבון שמספר הטלפון הגנוב משויך לו.

קנס ענק על הפרת פרטיות. ה-FTC

הדברים מגיעים אחרי שבאמצע יולי נודע כי ועדת הסחר הפדרלית האמריקנית, ה-FTC, השיתה קנס בסדר גודל של כחמישה מיליארד דולר על פייסבוק, ושהוא תוצר של "פשרה" מול הענקית ממאנלו פארק וכענישה על אופן הטיפול של החברה בנתוני המשתמשים.

אמנם מדובר על ענישה הקשורה בעיקר לפרשיית קיימברידג' אנליטיקה המהוללת, אבל צוינו בהקשר לה גם הפרות אחרות של נתוני משתמשים שמשויכות יותר לחזית הפקרה ורשלנות באבטחת הסייבר מטעם ענקית הרשתות החברתיות.

כך למשל, במקרה שאירע באוקטובר 2018, פייסבוק הודתה כי מתקפת האקרים על שרתי החברה חשפה את המידע האישי של כ-50 מיליון משתמשים ברשת. בחברה זיהו חולשה בקוד של פייסבוק, אשר השפיע על הנראות של פרופיל המשתמשים. הניצול של חולשה שכזו אפשר להאקרים להשתלט על המפתחות הדיגיטליים של המשתמשים ועל החשבונות של מיליונים רבים מהמשתמשים. מפתחות דיגיטליים אלה הם המחברים את המשתמשים לרשת, בלא שהם נדרשים להזין מחדש את הסיסמה.