脸书又出隐私事故 大规模安全漏洞影响5000万用户

原标题：史上最严重？脸书又出隐私事故 5000万用户可能被黑客窃取隐私包括小扎

Facebook发现了一个大规模的安全漏洞，影响了5000万用户账户，其中包括Facebook老板马克·扎克伯格和首席运营官谢丽尔·桑德伯格。

这家社交媒体巨头说，攻击者利用了该网站的“View As”功能，让人们可以看到自己的个人资料在其他用户眼中的样子。

这些不知名的攻击者利用代码中一个名为“访问令牌”(Access token)的功能来接管用户的账户，这可能会让黑客访问私人信息、照片和帖子——尽管Facebook表示，没有证据表明已经有人这么做了。

黑客还试图从Facebook的系统中获取人们的个人信息，包括姓名、性别和家乡。

Facebook表示，目前尚不清楚来自受影响账户的信息是否被滥用或侵入，并正与美国联邦调查局(FBI)合作进行进一步调查。

然而，马克·扎克伯格向用户保证，密码和信用卡信息不会被访问。

作为安全措施，该公司今天早些时候将大约9000万人的账户注销。

Facebook表示，当受影响的用户试图访问该网站时，系统会提示他们重新登录Facebook。

用户通过电子邮件或移动设备收到一个六位数的代码来验证他们的身份，然后系统引导他们进入Facebook的网站。

在用户重新登录后，他们会在新闻提要的顶部收到一个通知，说明发生了什么。

Facebook还表示，在进行彻底的安全审查时，将暂时关闭“View As”功能。

此次攻击是Facebook最近一系列挫折中的最新一起。今年早些时候，剑桥分析(Cambridge Analytica)丑闻的余波仍在恢复中。

因此，一些专家和官员越来越担心这家公司能否有效管理和保护用户数据。

安全公司Darktrace网络情报总监贾斯廷•菲尔(Justin Fier)对路透社(Reuters)表示，这一事件的影响是巨大的。

这一缺口还可能给Facebook带来欧洲隐私法方面的问题。

Facebook表示，已将此事告知爱尔兰数据保护委员会(Irish Data Protection Commission)，这是欧洲GDPR法规要求的步骤。

欧盟委员会表示，它收到了通知，但对通知的时机和缺乏细节表示担忧。

弗吉尼亚州参议员马克·沃纳(Mark Warner)称此次黑客攻击“令人深感担忧”，并呼吁展开全面调查。

“…今天的披露提醒了我们，当少数几家公司，比如Facebook或美国信用管理局Equifax，能够在没有足够安全措施的情况下，收集如此多的美国个人数据时，会带来什么样的危险。”

“这是另一个发人深省的迹象，表明国会需要加大力度，采取行动保护社交媒体用户的隐私和安全。就像我之前说过的那样，社交媒体上狂野西部的时代已经结束了。”

就在消息公布后不久，一些Twitter用户也开始报道，Facebook禁止他们分享美联社(Associated Press)和《卫报》(the Guardian)报道的黑客事件的链接。

当用户试图分享这些链接时，他们收到了一条信息:“我们的安全系统发现很多人发布了相同的内容，这可能意味着这是垃圾邮件。请试试别的帖子。”

此举让一些人猜测，这是Facebook压制负面报道的结果。

不过，Facebook后来向《纽约时报》证实，这是该公司垃圾邮件检测工具出错的结果。

周五公布的消息令Facebook股价在午后交易中重挫3.4%，令本已艰难的一年雪上加霜。今年迄今，Facebook股价已累计下跌6.7%。

扎克伯格在自己的Facebook个人主页上就此事发表了一篇帖子，称此事“昨晚已修复”，但该公司正与包括美国联邦调查局(FBI)在内的执法部门合作，调查此次袭击的起因。

扎克伯格写道：“周二，我们发现一个攻击者利用技术漏洞窃取了访问令牌，让他们可以登录大约5000万人的Facebook账户。”

访问令牌不包含用户的密码，但允许用户登录Facebook帐户而不需要密码。

扎克伯格在一份对记者的声明中承认，Facebook需要采取额外的措施来防止此类问题在未来发生。

“我们真的很认真……我们公司在安全方面做出了重大努力，加强了我们所有的安全防护。”扎克伯格在与记者的电话交谈中说。

“我很高兴我们找到了这个。但这件事发生在一开始就肯定是个问题。”

Facebook不知道这些账号是否被滥用，也没有发现任何滥用的证据。

不过，扎克伯格在接受记者采访时说，这种情况当然可能会改变，也就是说，在对这起事件进行进一步调查后，他们有可能找到数据被滥用的证据。

Facebook表示，目前正与美国联邦调查局(FBI)合作，进一步调查这起事件。

Facebook负责产品管理的副总裁盖伊•罗森(Guy Rosen)表示，此次攻击似乎源于该公司视频上传程序中的一个漏洞。

Facebook去年开始允许用户在其网站上上传视频。

罗森在接受记者采访时说：“漏洞本身是三个不同漏洞的结果，它们之间的整合是在2017年7月通过视频上传器推出的。”

罗森说，攻击确实试图使用API访问姓名或性别等个人信息。

专家们警告Facebook用户要警惕可能的“钓鱼攻击”。“钓鱼攻击”指的是攻击者伪装成合法实体，诱骗用户打开恶意信息、电子邮件或短信。

这可能导致安装恶意软件，通过勒索软件冻结系统或窃取敏感信息。

这些信息可以用来购买商品、窃取资金或有助于身份盗窃。

在Facebook宣布此次入侵后，该公司就下一步行动发布了指导意见——九千万帐户已自动被注销，但无须更改密码。

如果你登录有困难——例如因为忘记密码，你应该访问Facebook的帮助中心。

如果你还没有被自动注销，但你想要注销作为预防措施，访问“安全和登录”部分列出了你登录到Facebook的所有地方。

可以使用一键选择在所有的pc和设备上登出Facebook，你可能已经访问它。

然而，罗森强调，这次攻击让攻击者可以像操作用户一样操作概要文件。

“…有一点很重要:攻击者可以把账户当作账户持有人来使用。”

在线隐私网站Top10VPN.com的研究和网络安全专家西蒙米格里亚诺(Simon Migliano)说，虽然用户的信用卡信息和密码可能没有被访问，但其他敏感信息仍有可能被访问。

米格里亚诺解释说，即使这些账户很快被禁用，或者登录信息发生了变化，至少黑客们已经掌握了主要的电子邮件地址。

“一次被黑是不小心，再次被黑是不可原谅的，这可能会不可挽回地损害用户对Facebook的信任。当他们说他们已经解决了问题时，谁还会再相信他们呢?”米格里亚诺补充道。

FACEBOOK的隐私丑闻

今年早些时候，政治咨询公司剑桥分析公司(Cambridge Analytica)不当访问了Facebook的8700万用户的数据，Facebook因此成为头条新闻。

这一信息的披露引发了政府对该公司在全球范围内隐私行为的调查，并在消费者中引发了一场“删除facebook”运动。

通信公司Cambridge Analytica在伦敦、纽约、华盛顿以及巴西和马来西亚都有办事处。

该公司夸口说，它可以通过数据驱动的竞选活动和一个包括数据科学家和行为心理学家在内的团队，“找到你的选民，让他们行动起来”。

剑桥分析公司(Cambridge Analytica)在其网站上说，仅在美国国内，我们就在赢得总统竞选、国会和州选举方面发挥了关键作用。该公司的网站上显示，其拥有超过2.3亿美国选民的数据。

该公司从一项功能中获益，该功能意味着应用程序可以请求允许访问自己的数据以及所有Facebook好友的数据。

这意味着该公司能够挖掘8700万Facebook用户的信息，尽管只有27万人同意这么做。

这是为了帮助他们创建能够预测和影响选民投票的软件。

该数据公司的首席执行官亚历山大•尼克斯(Alexander Nix)被停职，此前有录音显示，他发表了一系列有争议的言论，其中包括吹嘘剑桥分析公司(Cambridge Analytica)在唐纳德•特朗普(Donald Trump)的选举中发挥了关键作用。

据说这些信息也被用来帮助英国脱欧运动。

Facebook之前也遭遇过几次问题。

2013年，Facebook披露了一个软件漏洞，将600万用户的电话号码和电子邮件地址暴露给未经授权的观众长达一年之久，而2008年的一个技术漏洞则披露了8000万Facebook用户档案上的保密出生日期。

该公司周二得知此事，周三通知了执法部门。到周四，该公司已经修补了漏洞，并开始重新设置访问代码。

罗森在另一篇博客文章中写道，我们还采取了预防措施，重新设置了另外4000万个账户的访问令牌，这些账户在去年曾被使用了“View As”功能。

因此，大约有9000万人将不得不重新登录Facebook，或使用Facebook登录的任何应用程序。

23岁的梅根·怀特(Megan White)是5000万注销账户的Facebook用户之一，她现在担心自己的个人数据可能遭到了侵犯。

她说：“如果有人黑了我，他们可以知道我的手机号码、工作信息和电子邮件地址。你不知道现在谁掌握了这些信息，也不知道他们能用这些信息做什么。”

她不知道为什么昨天早上她的账户被注销了，直到后来她读到黑客攻击的消息。

来自伦敦北部的怀特小姐正在考虑删除她的账户。

Facebook表示，目前还不知道袭击者的来源或身份。

罗森解释说:“由于我们才刚刚开始调查，我们还没有确定这些账户是否被滥用或被获取了任何信息。”

“我们也不知道这些袭击的幕后黑手是谁，也不知道他们的基地在哪里。我们正在努力更好地处理这些细节——当我们得到更多的信息，或者事实发生变化时，我们将更新这篇文章。”

他还说：“此外，如果我们发现更多受影响的账户，我们将立即重置其访问令牌。”

相关报道: