Peretasan Facebook mengungkap 50 juta informasi pengguna — dan akun di situs lain

Serangan terhadap Facebook mengungkap informasi tentang hampir 50 juta pengguna jejaring sosial tersebut perusahaan mengumumkan pada hari Jumat — dan memberi penyerang akses ke akun pengguna tersebut di situs dan aplikasi lain yang mereka masuki menggunakan Facebook.

Para penyerang mengeksploitasi bug dalam fitur yang disebut “Lihat sebagai” yang memungkinkan pengguna melihat halaman Facebook mereka seperti yang dilakukan orang lain. Para penyerang dapat mengambil alih akun tersebut dan menggunakannya persis seolah-olah mereka adalah pemegang akun. Itu termasuk memposting atau melihat informasi yang dibagikan oleh teman akun tersebut. Facebook mengatakan tidak ada informasi kartu kredit yang disimpan di perusahaan yang diakses.

Facebook (FB) mengatakan pihaknya tidak tahu siapa penyerangnya atau di mana markas mereka. Pihaknya juga menyatakan telah memperbaiki masalah ini dan memberi tahu FBI dan penegak hukum lainnya, serta anggota parlemen dan regulator. Mereka juga telah memberi tahu Komisi Perlindungan Data Irlandia tentang pelanggaran tersebut, sebuah langkah yang diwajibkan oleh Eropa Peraturan GDPR. Komisi mengatakan mereka menerima pemberitahuan tersebut, namun menyatakan keprihatinan atas waktu dan kurangnya rincian.

Lebih dari 90 juta pengguna dipaksa keluar dari akun mereka oleh Facebook dan harus masuk kembali pada hari Jumat karena alasan keamanan. Akun CEO Facebook Mark Zuckerberg dan COO Sheryl Sandberg termasuk di antara 90 juta akun yang logout secara paksa oleh Facebook.

Pengguna tidak perlu melakukan tindakan keamanan tambahan atau mengatur ulang kata sandi mereka, kata Facebook. Semua pengguna yang logout akan menerima pemberitahuan tentang masalah ini dari Facebook, namun tidak akan memberitahu mereka apakah mereka termasuk dalam kelompok 50 juta yang terkena dampak atau 40 juta yang dimasukkan sebagai tindakan pencegahan.

Para penyerang juga dapat mengakses layanan atau situs pihak ketiga yang diakses dengan login Facebook, kata Guy Rosen dari Facebook dalam panggilan lanjutan dengan wartawan pada hari Jumat, meskipun belum jelas apakah mereka melakukan hal tersebut. Hal ini juga bisa berdampak pada akun Instagram yang menggunakan login yang sama dengan Facebook, namun Rosen mengatakan WhatsApp, yang juga dimiliki oleh Facebook, tidak terkena dampaknya. Ini adalah peretasan terbesar yang pernah terjadi di Facebook, kata seorang juru bicara.

Perusahaan mengatakan mereka tidak mengetahui apakah akun yang terkena dampak telah disalahgunakan dengan cara apa pun atau apakah ada informasi pengguna yang benar-benar diakses. Pihaknya belum menentukan apakah ada lokasi atau akun tertentu yang menjadi sasaran. Ini telah menonaktifkan fitur “Lihat Sebagai” yang dieksploitasi oleh penyerang saat menyelidiki.

“Dari pengalaman, pemberitahuan pelanggaran seperti ini cenderung menjadi lebih buruk seiring berjalannya waktu dan informasi dari investigasi dibagikan kepada publik,” kata Jessy Irwin, kepala keamanan di perusahaan keamanan siber Tendermint. “Tidak banyak informasi yang diketahui publik tentang dampak akun-akun (tertaut) tersebut, namun hal ini tampaknya berdampak lebih mendalam pada seluruh ekosistem Facebook dibandingkan yang dilakukan Cambridge Analytica.”

Facebook mengatakan kerentanan tersebut disebabkan oleh tiga bug berbeda, dan pertama kali muncul pada Juli 2017 ketika perusahaan melakukan perubahan pada fitur pengunggahan video. Perusahaan pertama kali mendeteksi beberapa aktivitas yang tidak biasa — lonjakan akses pengguna ke situs — pada 16 September 2018. Perusahaan meluncurkan penyelidikan dan mengungkap serangan ini pada hari Selasa, 25 September. Pada hari Rabu perusahaan memberi tahu penegak hukum dan pada Kamis malam perusahaan memperbaiki kerentanan dan mulai mengatur ulang token login, menurut Facebook.

Para penyerang mencuri “token akses” Facebook yang membuat seseorang tetap masuk ke akun Facebook mereka dalam jangka waktu yang lama sehingga mereka tidak perlu terus masuk. Facebook mengatur ulang semua 50 juta token, serta token untuk 40 juta orang tambahan. yang telah menggunakan fitur “Lihat sebagai” pada tahun lalu sebagai “langkah pencegahan”. Penyetelan ulang ini juga membatalkan tautan akun seperti Instagram dan Oculus, yang keduanya dimiliki oleh Facebook, sehingga pengguna harus menautkannya kembali.

“Kenyataannya di sini adalah kita menghadapi serangan terus-menerus dari orang-orang yang ingin mengambil alih akun atau mencuri informasi…. kita perlu berbuat lebih banyak untuk mencegah hal ini terjadi,” kata CEO Mark Zuckerberg saat menelepon wartawan beberapa waktu lalu. setelah pengumuman.

Pengumuman tersebut adalah edisi terbaru bagi perusahaan yang sedang berjuang melawan pelanggaran keamanan, masalah privasi Dan keterangan yg salah dalam beberapa tahun terakhir. Facebook mengatakan pihaknya akan berinvestasi besar-besaran dalam bidang keamanan di masa depan, dan meningkatkan jumlah orang yang bekerja di bidang keamanan dari 10.000 menjadi 20.000 orang.

“Keamanan adalah perlombaan senjata dan kami terus meningkatkan pertahanan kami,” kata Zuckerberg.

— Donie O’Sullivan dari CNN, Laurie Segall dan Sara O’Brien berkontribusi dalam pelaporan.

CNNMoney (San Francisco) Pertama kali diterbitkan pada 28 September 2018: 12:58 ET