Profil firmowy na Facebooku można było przejąć w zaskakująco łatwy sposób

To nie jest najszczęśliwszy rok Facebooka. W 2018 r. z zatrważającą regularnością dowiadywaliśmy się o kolejnych zagrożeniach dotykających ogromnej liczby użytkowników najpopularniejszego serwisu społecznościowego świata. W połowie października pojawiły się informacje o tym, że przez dziurę bezpieczeństwa hakerzy mogli uzyskać dostęp do 30 mln kont użytkowników, a plan odzyskania przez serwis zaufania po wiosennym Cambridge Analytica, mówiąc bez ogródek trafił szlag. Na szczęście dla nas i dla firmy załatany niedawno błąd, pozwalający na dodanie do profilu firmowego administratora z zewnątrz, nie został prawdopodobnie wykorzystany na szeroką skalę. Dzięki programowi nagradzania za znalezione błędy bezpieczeństwa tym razem się udało.

Błąd, zgłoszony przez Philippe Harewooda, pozwalał na dodanie dowolnej osoby jako administratora do dowolnego konta firmowego. Żeby dostać się na przykład na stronę firmową konkurencji, wystarczyło wejść na własne konto firmowe i zaimportować listę administratorów podając jednak ID konta firmowego, które chciało się przejąć.

I tyle. Administrator trojański zostawał dodany do konta, na którym mógł hulać, szaleć i psocić zarządzając nie tylko stroną facebookową firmy, ale też jej Instagramem oraz kontem reklamowym. Nie trzeba być drugim Machiavellim, żeby wyobrazić sobie, na jakie straty byłaby narażona firma, której profil przejęto w taki sposób.

Na szczęście Facebook tym razem zadziałał szybko. Harewood zgłosił błąd 9 listopada, a już 15 wszystko zostało naprawione. Haker od 2013 r. znajduje się na publikowanej przez Facebooka liście osób, które przyczyniły się do poprawy bezpieczeństwa w serwisie, a od 2015 r. jest w ścisłej czołówce wyróżnianych przez portal hakerów. Za swój najnowszy błąd otrzymał 27,500 dol. nagrody, co dało mu drugą pozycję na liście nagrodzonych w 2018 r. Facebook, jak większość dużych firm technologicznych, nagradza za znalezione u siebie i zgłoszone błędy bezpieczeństwa.