Хакеру знадобилось лише 1 година, щоб зламати всі облікові записи Facebook

Facebook заплатила рекордну суму фахівцеві за знаходження вразливості, яка давала доступ до будь-якого облікового запису. Непальський дослідник кібербезпеки Саміт Арьял увійшов в історію, виявивши вразливість у системі скидання пароля Facebook, яка дозволяла зловмиснику без жодних дій з боку жертви заволодіти будь-яким обліковим записом.

Відкриття не лише принесло Арьялу рекордну винагороду від компанії, а й найвищу позицію у Залі Слави Facebook серед білих хакерів за 2024 рік. Сума винагороди, однак, залишається невідомою.

Арьял виявив, що функція скидання пароля Facebook не мала обмеження кількості спроб запиту коду, що давало можливість проведення атак без участі користувача. Шахрай міг відправити запит на скидання пароля та методом брутфорсу підібрати 6-значний код безпеки.

ПРОДОВЖЕННЯ ПІСЛЯ РЕКЛАМИ

Дослідження Арьяла показало, що при скиданні пароля через Android Studio користувачеві пропонувалося отримати код безпеки через повідомлення на Facebook, причому код залишався дійсним протягом двох годин, навіть якщо були зроблені невдалі спроби його введення. Арьял зазначив, що на відміну від скидання SMS, код не анулювався після кількох помилкових спроб.

Застосовуючи метод брутфорсу, Арьял зміг перевірити всі можливі комбінації кодів за годину, виявивши вразливість, що дозволяє відображати код безпосередньо у повідомленні без необхідності натискання на нього.