在历经两周的调查之后，Facebook于上周五（10月12号）公布了社交网络大规模攻击事件的更多细节，此次事件让数千万用户的帐户受损。Facebook原本预估被盗账号数量至少在5000万以上，现在将范围下调至3000万，并向我们揭示了此等规模的攻击究竟是如何发生的。

Facebook之前曾表示过，黑客利用了Facebook“View As”功能中的三个漏洞。“View As”功能可以让用户看到他们的个人主页的展示样式，这给黑客提供了获取攻击机会。这个问题自2017年7月以来一直存在，但直到今年9月14日，Facebook才首次发现可疑活动增多，这也最终导致了9月25号大规模攻击事件的发生。

Facebook产品管理副总裁Guy Rosen在周五与记者的通话中表示，

凭借这些访问标记，攻击者可以随意进入人们的账户，Facebook正在研究可以解决这类问题的方法，并保证他们会尽快解决以及最大限度地减少其影响。

Facebook表示他们正与FBI合作，无法透露有关黑客身份或其可能动机的任何调查结果，但看上去此次攻击事件已经得到很好的解决，Facebook也准备了设备用于快速转移数据。

攻击者利用Facebook漏洞的方式是：通过控制一组根帐户，从根帐户的朋友、朋友的朋友等处来窃取访问权限，此项过程可自动执行。最终导致黑客占据了超过400,000个帐户。当用户查看他们自己的个人主页时，他们需要加载的内容就是所看内容的映射，这意味着攻击者可以访问用户的所有基本信息，例如居住地和联系信息，还可以访问他们的朋友、所在的群组、时间轴上的帖子以及邮箱里的最近联系人。

Rosen说，

这40万个帐户是攻击者用脚本加载为”View As“模式的帐户，因此这些账户包含了Facebook用户的个人资料，当用户加载Facebook主页并落入攻击者的脚本时，用户信息就会被黑客所窃取。

攻击者无法看到邮件的内容，除非受感染的用户是Facebook页面管理员，在这种情况下，传入的邮件是才是可见的。Facebook得出的结论是，此次攻击事件对公司相关应用的数据并未造成影响，包括Messenger，Messenger Kids，Instagram，WhatsApp，Oculus和开发者账户。攻击者也看不到用户完整的信用卡号码，Facebook表示没有证据表明攻击者知晓了用户信用卡的最后四位数字。

然而，在首轮400,000个被入侵的账户中，攻击者持续利用着访问标记，最终让受影响账号总数达到了3000万。这3000万受影响账户可以分为三组：第一组是1500万个帐户，攻击者可以根据用户列出的内容专门访问姓名、联系信息、电话号码或电子邮件地址；第二组是另外1400万个帐户，攻击者不仅可以获取上述所有信息，还能取得更详细的个人资料数据。

Rosen写道，第二组中，可能会被窃取的其他信息包括：用户名，性别，语言，关系状态，宗教，家乡，自我报告的当前城市，生日，用于访问Facebook的设备类型，教育，工作，他们检查或标记的最后10个地方，他们关注的网站，人物或页面，以及最近的15个搜索。

第三组是剩余的一百万帐户，攻击者没有这些账户访问的任何信息。以下是如何确定您是否受到影响以及受影响的程度。

Facebook对受影响用户的地理分布情况不予置评，但Rosen称这次攻击在全球范围内都具有“相当广泛”的影响力。他还重申Facebook没有证据证明攻击者盗用访问标记来破坏包含Facebook登录方式的第三方帐户。Facebook上周向第三方开发者发布了一个工具，允许他们在此事件中检查他们的任何用户帐户是否遭到入侵。

Facebook一再强调其在调查和修复攻击方面的迅捷性，但没有详细阐述为什么它在9月14日首次发现可疑流量时没有采取更多预防性措施，直到9月25日Facebook才得出了14号是此次事件攻击预示的结论，继而才识别并修补了漏洞。

罗森说，

Facebook的数据每一天都会有变化，但这次的数据变化是不正常的，继而引发了调查，促使我们挖掘并了解了这一安全问题。

Facebook表示尚未看到被盗数据被滥用的证据，该公司现在对评估所采集的数据以及受影响的用户更有信心。不过，罗森指出，局势的某些方面仍然未知。Facebook正在继续调查黑客可能滥用该平台的其他方式，并且不会排除其他攻击者利用这三个漏洞发动类似攻击的可能性。

本文翻译自：https://www.wired.com/story/how-facebook-hackers-compromised-30-million-accounts/

翻译作者：Change 原文地址：  http://www.4hou.com/info/news/14045.html