Facebook、2,900万人のユーザーデータが流出

2018年10月13日

Facebookは現地時間10月12日、9月末に発覚した脆弱性により、攻撃を受けたユーザーアカウントの数と、流出した可能性のある情報について報告しました。

攻撃者は3,000万人のアカウントにアクセス

Facebookは9月末に、「View As」機能のコードの脆弱性を突いた攻撃により、約5,000万人のユーザーアカウントがハッキングされた可能性があると報告しました。その後さらに調査を進めた結果、当初予想していた数よりは少ないものの、3,000万人のユーザーアカウントがアクセスされたことが判明したとのことです。

同社の調査によれば、攻撃者は2017年7月から2018年9月にかけて、「View As」機能のコードの脆弱性を突いた攻撃を行なっていた模様です。 9月14日からアクティビティが異常な増加を示したことから調査を開始、9月25日にその原因が脆弱性を突いた攻撃であることが発覚しました。

Facebookはそれから2日以内に問題を修復、攻撃を止め、アクセスされた可能性のあるユーザーアカウントのアクセストークンをリセットしました。同時に問題のあった「View As」機能を使用不可としています。

その後FBIなどとも協力し捜査を進めた結果、被害規模は当初予想していたよりも小さいものの、約3,000万アカウントのトークンが盗まれていたことが明らかになりました。

1,400万アカウントについては詳細情報が流出

Facebookによると、トークンが盗まれた3,000万アカウントのうち、1,500万アカウントについては2セットの情報、すなわち名前と連絡先情報(電話番号、メールアドレス、その他プロフィールに記載された情報)、1,400万アカウントについては同じく2セットの情報に加え、ユーザー名、性別、言語、居住地域、誕生日、学歴、職歴、フェイスブックへのアクセスに使用しているデバイス、チェックインした場所、フォローしている人々やWebサイト、最新15の検索といった詳細情報へのアクセスが確認されているとのことです。なお100万アカウントについては、情報にアクセスした形跡は見られませんでした。したがって実際に被害にあったアカウントは2,900万ということになります。

自分のアカウントが被害にあったかどうかは、Facebookのヘルプセンターで確認することができます。またトークンが盗まれた3,000万アカウントのユーザーについては個別にメッセージを送るとともに、ユーザーを保護する支援を行っているとのことです。