Facebook: Gestohlene Daten von der Plattform im Jahr 2019 abgeschöpft

Cyber Security News

Die Sicherheitslücke, die am Wochenende das Leck von persönlichen Daten von mehr als 533 Millionen Nutzern verursachte, existiert nicht mehr, dennoch sieht sich der Social-Media-Riese einer Untersuchung durch EU-Regulierer gegenüber.

Das Leck von persönlichen Daten von mehr als 533 Millionen Facebook-Nutzern wurde von böswilligen Akteuren aufgrund einer Sicherheitslücke in der Plattform des Unternehmens vor September 2019 aus ihren Profilen gekratzt, sagte der Social-Media-Riese Dienstag.

Bedrohungsakteure haben diese Daten am Wochenende in einem öffentlichen Hackerforum gepostet, was erneut Bedenken hinsichtlich der Privatsphäre aufwirft und Facebook in die Mitte der Kontroverse über seinen Schutz oder seinen Mangel an Benutzerdaten stellt. Zu der Zeit wurde vermutet, dass die Daten aufgrund eines Fehlers in der Funktion “Freund hinzufügen”, der 2019 entdeckt wurde, abgeschöpft worden waren.

In einem Versuch, die Sache richtig zu stellen, bestätigte das Unternehmen in einem Blogbeitrag am Dienstag, dass das Leck tatsächlich auf einen Fehler in seinem “Kontaktimporteur” zurückzuführen war, der zuvor gemeldet und bereits vom Unternehmen behoben wurde.

“Wir glauben, dass die fraglichen Daten von böswilligen Akteuren, die unseren Kontaktimporteur vor September 2019 verwenden, aus den Facebook-Profilen von Personen abgeschöpft wurden”, heißt es in dem Beitrag von Mike Clark, einem Leiter des Facebook-Produktmanagements. “Diese Funktion wurde entwickelt, um Menschen zu helfen, ihre Freunde zu finden, mit denen sie sich auf unseren Diensten über ihre Kontaktlisten verbinden können.”

In seinem Beitrag nannte Clark das Leck “ein weiteres Beispiel für die anhaltende, feindselige Beziehung, die Technologieunternehmen mit Betrügern haben, die absichtlich Plattformrichtlinien brechen, um Internetdienste zu scrapen” und sagte, das Unternehmen sei zuversichtlich, dass das Problem, das das Datenscraping ermöglichte, “nicht mehr existiert.”

Mögliche regulatorische Maßnahmen

Egal, Facebook steht immer noch vor einer Untersuchung durch einige Regulierungsbehörden in der Europäischen Union über den Vorfall und könnte mit Geldstrafen über den Vorfall konfrontiert werden. Die irische Datenschutzkommission (IDPC) ist die erste Überwachungsgruppe, die sagt, dass sie die Angelegenheit wegen eines möglichen Verstoßes gegen die Allgemeine Datenschutzrichtlinie (GDPR) untersucht, die vorschreibt, dass Unternehmen Datenverletzungen innerhalb einer bestimmten Zeitspanne offenlegen oder Strafen zahlen müssen.

“Eine erhebliche Anzahl” der von der Verletzung betroffenen Benutzer waren aus der EU, nach einem Beitrag auf der DPC-Website, setzen sie in Gefahr für Phishing, Marketing-Betrug und andere cyberkriminelle Aktivitäten.

“Frühere Datensätze wurden 2019 und 2018 im Zusammenhang mit einem groß angelegten Scraping der Facebook-Website veröffentlicht, das nach Angaben von Facebook zwischen Juni 2017 und April 2018 stattfand, als Facebook eine Schwachstelle in seiner Telefonsuchfunktion schloss”, so das DPC in dem Beitrag. “Da das Scraping vor der GDPR stattfand, entschied sich Facebook dafür, dies nicht als Verletzung des Schutzes personenbezogener Daten gemäß GDPR zu melden.”

Einige der Daten, die über das Wochenende durchgesickert sind, könnten jedoch aus einem späteren Zeitraum stammen, was bedeuten könnte, dass Facebook gegen die GDPR verstößt, so der DPC.

“Die DPC hat über das Wochenende versucht, den vollständigen Sachverhalt zu ermitteln und wird dies auch weiterhin tun”, so die Kommission, die mit Facebook zusammenarbeitet, um die Untersuchung zu klären.

Scraping bleibt eine Bedrohung

Die durchgesickerten Daten sind nun für jedermann für weniger als 3 Dollar, also im Grunde kostenlos, zugänglich und beinhalten die Handynummern der Facebook-Nutzer, ihre Facebook-ID, ihren Namen und ihre Geschlechtsinformationen. Etwa 32 Millionen waren mit Benutzerkonten verbunden, die in den Vereinigten Staaten ansässig sind.

Das Leck unterstreicht nicht nur die anhaltenden Datenschutzbedenken bei Facebook und anderen Social-Media-Unternehmen, sondern rückt auch die gängige Taktik des Scrapings und ihre potenziellen Gefahren wieder ins Rampenlicht.

Scraping ist “ein gängiges Angriffsmuster”, das von Bedrohungsakteuren verwendet wird, um öffentliche Informationen aus dem Internet abzuschöpfen, die dann online gewinnbringend verkauft und für bösartige Aktivitäten wiederverwendet werden können, erklärte Michael Isbitski, Technical Evangelist bei Salt Security, am Montag per E-Mail gegenüber Threatpost.

Facebook seinerseits sagte, dass es weiterhin gegen die Praxis des “Schürfens von Daten unter Verwendung von Funktionen, die Menschen helfen sollen” vorgehen wird, was gegen die Bedingungen der Plattform verstößt, sagte Clark in seinem Beitrag. “Wir haben Teams im gesamten Unternehmen arbeiten zu erkennen und zu stoppen, diese Verhaltensweisen,” er schrieb.

Facebook wird auch darauf hinarbeiten, dass der jüngste Datensatz offline genommen wird und “wird weiterhin aggressiv nach bösartigen Akteuren gehen, die unsere Werkzeuge missbrauchen, wo immer möglich,” Clark sagte.

Alon Gal, CTO bei Hudson Rock, wird für die erste Entdeckung der 533 Millionen Kontodatensätze verantwortlich gemacht. Ursprünglich war der Datensatz gegen eine Gebühr durchsuchbar, wie eine Display auf der sicheren Messaging-App Telegram zeigt. Jetzt sind dieselben Daten in öffentlichen Online-Foren verfügbar, die von Kriminellen frequentiert werden und von jedermann missbraucht werden können, so Rock.

“Schlechte Akteure werden die Informationen sicherlich für Social Engineering, Scamming, Hacking und Marketing nutzen”, twitterte er am Wochenende.

Haben Sie sich jemals gefragt, was in Untergrund-Cybercrime-Foren vor sich geht? Finden Sie es am 21. April um 14 Uhr ET während einer KOSTENLOSEN Veranstaltung von Threatpost heraus: “Underground Markets: A Tour of the Dark Economy”. Experten nehmen Sie mit auf eine Führung durch das Dark Web, einschließlich der Frage, was zum Verkauf steht, wie viel es kostet, wie Hacker zusammenarbeiten und welche neuesten Tools für Hacker verfügbar sind. Registrieren Sie sich hier für die LIVE-Veranstaltung am Mittwoch, 21. April.

Einige Teile dieses Artikels stammen aus:
threatpost.com