Näin Facebookin tiedot kaivettiin: Lista kaikista maailman puhelinnumeroista - "ovatko kavereitani?"

Nyt on alkanut selviämään se, miten valtava tietopaketti yli puolesta miljardista Facebook-käyttäjästä on oikein saatu luotua.

Facebook on itse alleviivannut sitä, että sen palvelua ei ole hakkeroitu, vaan tiedot on saatu kaivamalla käyttäjien julkisia tietoja. Tämän lisäksi saadut tiedot on yhdistelty aiempaan tietovuotoon, joka johtui tietoturva-aukosta Facebookissa vuosien 2017 ja 2018 aikana.

Mutta miten ihmeessä nyt kierrossa olevat tiedot on sitten kaivettu Facebookin julkisista tiedoista?

Yksinkertaista, rakas Watson, sanoisi Sherlock Holmes tähän.

Aina, kun Facebookiin liittyy tai ottaa minkä tahansa Facebookin omistaman sovelluksen käyttöön, Facebook ehdottaa yhteystietojen tuontia käyttäjän omasta puhelimesta. Näiden yhteystietojen avuilla Facebook pyrkii löytämään käyttäjälle kavereita, jotka ovat jo palvelussa. Facebook myös pyytää käyttäjän omaa puhelinnumeroa, useilla eri syillä: kaksivaiheisen tunnistautumisen avuksi, jne.

Joten.. Joku neropatti on ilmeisesti luonut yhteystietolistan, joka sisältää kaikki maailman puhelinnumerot ja lähettänyt sen Facebookille ja pyytänyt Facebookia tarkistamaan, ovatko nämä listalta löytyvät "ystävät" mahdollisesti Facebookissa.

Jokainen osuma, jonka Facebook on kertonut löytyvän Facebookista, on sitten merkitty oikeaksi ja yhdistetty annettuun puhelinnumeroon kyseisessä tiedostossa. Samalla on imaistu talteen kaikki kyseisen käyttäjän julkisesti näkyvillä olleet tiedot Facebookissa ja yhdistetty nekin samaan puhelinnumeroon.

Ja kappas, on saatu luotua paketti, joka sisältää hulppeat 500 miljoonaa käyttäjää, puhelinnumeroineen ja mahdollisine lisätietoineen.

How was Facebook scraped? Effectively, the attacker created an address book with every phone number on the planet and then asked Facebook if his 'friends' are on Facebook.

-- @mikko (@mikko) April 7, 2021

Joten kyllä, teknisesti ottaen Facebookissa ei hiljattain ole ollut tietovuotoa. Jotkut ovat vain keksineet keinon käyttää Facebookin tarjoamia työkaluja hieman erikoisella tavalla.

Tarinan opetus: hanki kakkos-SIM kännykkääsi ja anna ainoastaan sen numero jatkossa palveluihin, jotka vaativat puhelinnumeroa esimerkiksi tunnistautumista varten.

• tietovuoto
• Facebook