CSRF-уязвимость позволяла посторонним сайтам получать данные пользователей соцсети и их друзей.

Специалисты из Imperva раскрыли подробности об уязвимости в Facebook, ставившей под угрозу безопасность пользовательских данных. Благодаря возможности неавторизованного доступа к API компании посторонние сайты могли получать данные пользователей соцсети и их друзей. Исследователи уведомили Facebook об уязвимости в мае нынешнего года, и вскоре она была исправлена.

Проблема представляла собой уязвимость межсайтовой подделки запросов (CSRF), позволявшую использовать легитимный вход в Facebook для несанкционированных действий. Для успешного осуществления атаки злоумышленник должен был заставить авторизованного в соцсети пользователя зайти на вредоносный сайт через браузер Chrome. Когда жертва кликала в любом месте на сайте, злоумышленник мог показывать всплывающее уведомление или открывать новую вкладку со страницей поиска Facebook и отправлять любое количество запросов на получение личной информации.

Через уязвимость исследователи из Imperva смогли узнать, фотографировался ли пользователь в определенных местах, писал ли недавно пост с использованием определенного текста и поставили ли его друзья «лайк» странице Facebook. Кроме того, им удалось узнать интересы пользователей и их друзей, даже если доступ к этим данным был ограничен настройками приватности.

Как отметили специалисты, подобный тип атак не является распространенным, кроме того, Facebook уже исправила уязвимость. Однако, по их мнению, сложные атаки с использованием социальной инженерии могут стать более популярными уже в следующем году.