Angriperne brukte en svakhet i koden til Facebooks «Vis som»-funksjon. Den gjør at en bruker kan se hvordan Facebook-kontoen ser ut for andre brukere.
Sikkerhetshullet ble oppdaget tirsdag denne uken. Facebook opplyser at selskapet nå har tettet hullet og har varslet politiet om angrepet.
«Siden vi nettopp har startet undersøkelsene, har vi ikke fastslått om kontoene ble misbrukt» eller om noe brukerinformasjon er på avveie, heter det i en pressemelding fra Facebook.
Vet ikke hvem som står bak
Sikkerhetshullet stammer fra en oppdatering på opplastingsverktøyet for videoer som ble gjort i juli 2017. Det påvirket igjen «Vis som»-funksjonen.
Selskapet skriver at det ikke vet hvem som står bak angrepet.
«Det er ingen som trenger å skifte passord», forsikrer Facebook sine brukere.
Torgeir Waterhouse.
Foto: Pressefoto / IKT NorgeTorgeir Waterhouse, som er direktør for internett og nye medier i IKT Norge, sier at det foreløpig er vanskelig å vurdere hvor alvorlig feilen er.
– Her har kontoer faktisk vært eksponert. Det er litt vanskelig å si hvor stort dette hullet er fordi vi har lite informasjon, sier han.
Stjal «digitale nøkler»
Svakheten i Facebooks kode gjorde at hackerne fikk tilgang til brukeres «access token», en funksjonalitet som gjør at brukere ikke trenger å logge seg på på nytt hver gang man bruker Facebook. Da de fikk tilgang til «de digitale nøklene», som Facebook beskriver det som, hadde hackerne også mulighet til å ta over folks kontoer.
Waterhouse sier at avsløringen også kan vise at Facebooks sikkerhetssystem fungerer godt.
– Når man oppdager og varsler om slike hull, kan folk bli skeptiske. De tror at en slik nestenulykke viser at noe er usikkert. Men det kan faktisk vise det motsatt, at feil faktisk blir oppdaget, sier Waterhouse.
Likevel mener han at dette uansett er en god anledning til å skifte passord og slå på tofaktor-autentisering.
