标签: Facebook

Facebook 修复了 WhatsApp 中的漏洞,阻止黑客访问用户本地文件系统

Facebook 解决了 WhatsApp 中的一个严重漏洞(CVE-2019-18426),黑客可能利用该漏洞读取macOS 和Windows 操作系统的用户文件。 根据Facebook发布的安全公告,与iPhone端WhatsApp搭配使用时,WhatsApp Desktop中的一个漏洞允许跨站点脚本编写和本地文件读取。用户单击特制文字消息中的链接预览将会触发此漏洞。   Weizman在WhatsApp的内容安全策略(CSP)中发现了一个漏洞,使得黑客可以对进行跨站点脚本攻击(XSS),后续还发现黑客还可以利用此漏洞获得Windows和macOS 上WhatsApp应用文件的读取权限。 专家写道: “如果您运行的应用是易受攻击的旧版本,该漏洞将有可能对您造成不良影响。” “关于如何使用fetch()API,例如,可以从本地操作系统读取文件,例如本例中的C:\ Windows \ System32 \ drivers \ etc \ hosts文件的内容,” 该漏洞可能使黑客在消息中注入恶意代码和链接,这些消息和链接对于受害者是完全透明的。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Facebook 漏洞或泄露主页管理员信息

Facebook于上周解决了一个安全漏洞,该漏洞暴露了主页管理员的帐户,并且被黑客利用于向若干个名人的主页发动在野攻击。 主页管理员的帐户是匿名的,除非页面所有者选择公开,但漏洞将会泄露管理员的帐户。 Facebook的“查看编辑历史”允许主页管理员查看所有相关的活动,包括修改过帖子的用户的用户名。黑客可能根据这个漏洞泄露修改者以及管理员的账号,并严重影响隐私。 在安全研究员警告后,Facebook迅速解决了该问题。 黑客攻击的页面列表包括 Donald Trump总统,街头艺术家Banksy,俄罗斯总统Vladimir Putin,前美国国务卿Hillary Clinton,加拿大总理Justin Trudeau,黑客组织匿名人士,气候活动家Greta Thunberg,以及说唱歌手Snoop Dogg等。 2018年2月,安全研究员Mohamed Baset 在Facebook上发现了一个类似漏洞。 Baset解释说,该漏洞属于“逻辑错误”:他之前曾在一个界面点赞了一篇帖子,之后他收到来自Facebook的邀请邮件,邀请链接就指向了这篇帖子所在的页面。研究人员分析了社交网络发送的电子邮件的源代码,发现其中包括页面管理员的姓名和其他信息。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

Facebook 向 Cambridge Analytica 泄露用户信息,被巴西政府罚款 165 万美元

巴西因Facebook与 Cambridge Analytica 共享用户数据而对Facebook罚款165万美元。 检察官称,Facebook允许应用程序“ This is Your Digital Life”的开发人员访问巴西443,000位用户的数据。 “ This is Your Digital Life ” 应用发布于2014年 ,由Global Science Research(GSR)研发。该应用向用户提供1或2美元以进行在线调查,并请求访问该用户的个人资料信息。超过270,000个用户同意进行授权,这使得该应用可以使用这些信息进行学术研究。 丑闻遭到曝光之后,Facebook“暂停”了与Cambridge Analytica(CA)及其控股公司的所有业务。 巴西当局还开始调查隐私丑闻,以确定其公民的参与。 周一,巴西代表表示,“没有证据表明巴西的用户数据已转移到Cambridge Analytica”。 Facebook的发言人说:“我们已经更改了平台,并限制了应用程序开发人员可以访问的信息。” 巴西司法部指出,这家社交网络巨头未能充分告知其用户“默认隐私设置的后果”。Facebook对于隐私设置对访问“朋友和朋友的数据”可能产生的后果并不透明。” Facebook可以在10天之内对该决定提出上诉,并且可以在一个月内支付罚款。 2019年7月,美国联邦贸易委员会(FTC)批准了与Cambridge Analytica丑闻有关的Facebook创纪录的50亿美元和解协议。 2019年7月,意大利数据保护监管机构因违反隐私法,对Facebook 处以 100万欧元(110万美元)的罚款。 2018年10月,英国信息专员办公室(ICO) 因为同样的原因对Facebook 罚款 500,000英镑。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

男子因通过钓鱼邮件骗取 Google 和 Facebook 1.2 亿美元被判处 5 年徒刑

Evaldas Rimasauskas(48)于2017年3月被地方当局逮捕。原因是其伪装成亚洲大型硬件供应商Quanta Computer并从这两家IT巨头盗窃了大量资金。 起诉书中明确提到了Facebook和Google。根据调查人员的说法,Rimasauskas创建了电子邮件帐户,诱骗Facebook和Google的员工们相信这些电子邮件来自亚洲硬件供应商。 Rimasauskas假扮那些经常与Google 和 Facebook进行数百万美元交易的Quanta员工,并通过向这些员工发送钓鱼邮件,诱导他们向自己的帐户汇款。 Evaldas Rimasauskas于2017年5月在 Vilnius 地方法院照–来源法新社   Rimasauskas使用来自塞浦路斯,立陶宛,匈牙利,斯洛伐克和拉脱维亚的多个银行帐户来接收欺诈性付款。 美国执法部门于2017年将其逮捕。Rimasauskas 对邮件欺诈,身份盗窃和三项洗钱罪等犯罪事实供认不讳。 司法部发布新闻稿称:“除了监禁,法官还命令Rimasauskas在刑满释放后接受两年的监控,没收49,738,559.41美元,并要求其支付26,479,079.24美元的罚款。”     消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链

安全研究人员称 2.67 亿个 Facebook 用户的数据遭泄露

据外媒CNET报道,近日安全研究人员发现了一个不安全的数据库,其中泄露了超过2.67亿个Facebook用户的电话号码、姓名和用户ID,任何人都可以在线访问该数据库。这可能成为继续困扰着世界上最大的社交网络的又一起隐私和安全事故。 安全研究员Bob Diachenko于12月14日发现了这批Facebook用户数据。该数据库(目前已被关闭)并未受到密码或任何其他保护措施的保护。尽管该数据库现已无法访问,但是在安全研究人员发现时,这些信息已经被公开了将近两个星期。根据  Comparitech的说法,有人已经在一个黑客论坛上获得了可供下载的数据。 Facebook最新的隐私事故引发了有关该公司是否在保护其数十亿用户数据方面所做的足够的质疑。这也再次提醒用户,用户应警惕他们在社交网络上公开的信息。这不是安全研究人员首次发现一个包含大量Facebook用户数据的数据库。此前英国政治咨询公司剑桥分析公司被曝光未经其许可就收集了多达8700万Facebook用户的数据。 Facebook 还面临其他隐私问题,例如以纯文本格式存储数亿个密码。 Comparitech表示,公开的Facebook数据使用户面临垃圾邮件和网络钓鱼活动的风险。Facebook用户ID包含唯一数字,可用于找出某人的Facebook用户名和其他个人资料信息。 Diachenko认为越南的犯罪分子通过两种可能的方式获得了用户记录。他们本可以利用Facebook的应用程序编程接口或API,使开发人员可以访问其朋友列表,照片和群组等数据。由于可能存在安全漏洞,这可能是在Facebook在2018年或之后限制访问用户电话号码之前发生的。犯罪分子还可以使用自动化技术从公开的Facebook个人资料中获得信息。 Diachenko在一封电子邮件中表示,链接到数据库的欢迎页面包括越南语邀请,要求输入登录名和密码。他表示,该数据库似乎被错误地设置为公开数据库,因为“没有充分的理由公开此数据。” 一位Facebook发言人在一份声明中说,该公司正在调查该问题,但认为该数据可能是在进行更改以更好地保护用户信息(例如限制访问电话号码)之前收集的。安全研究人员指出,用户可以更改隐私设置,以使Facebook之外的搜索引擎无法链接到他们的个人资料。用户还可以停用或删除他们的Facebook帐户。 不受保护的公共数据库一直是Facebook的问题。4月,来自UpGuard的安全研究人员在亚马逊云服务器上的公共数据库中发现了超过5.4亿个Facebook用户记录,包括评论和点赞。9月,TechCrunch报告称一个服务器包含多个数据库,其中包括来自美国、英国和越南用户的超过4.19亿个Facebook记录。不过,Facebook表示,该服务器包含大约2.2亿条记录。Diachenko称,最新遭泄露的公开数据库包含相似的Facebook用户数据,但并不相同。 9月,另一位安全研究人员发现了一个类似的数据库,其中包含Facebook用户数据。目前尚不清楚是否是同一个人或团体在网上发布Facebook用户信息。   (稿源:cnBeta,封面源自网络。)

Facebook 致信美国司法部长 将不会从其消息传递应用中删除加密技术

据外媒The Verge报道,Facebook高管对美国司法部长威廉·巴尔(William Barr)表示,在周二参议院就加密问题进行听证会之前,该公司不会向执法部门提供对其加密消息产品的调查访问。 在一封信中,WhatsApp和Messenger负责人Will Cathcart和Stan Chudnovsky分别表示,不良行为者可能出于恶意目的利用任何“后门”访问Facebook为执法而创建的产品。因此,Facebook拒绝了巴尔使其产品更易于使用的请求。 “您要求执法部门进行的’后门’访问将是对罪犯、黑客和镇压政权的礼物,为他们提供了一种进入系统的方式,并使我们平台上的每个人都更容易遭受现实生活的伤害,” Facebook高管写道。“人们的私人信息将不太安全,真正的赢家将是任何试图利用这种弱化的安全性的人。那不是我们准备做的事情。” 今年早些时候,Facebook首席执行官马克·扎克伯格(Mark Zuckerberg)宣布,该公司将大力发展端到端的加密消息服务。它的三个消息传递产品(Instagram,WhatsApp和Messenger)的底层基础结构将被捆绑在一起并变得更加私密。 十月份,司法部就这一隐私声明与Facebook发生了争执,暗示该公司的计划将使罪犯(主要是性贩子和恋童癖者)受益。巴尔表示:“公司不应故意设计其系统,以防止以任何形式访问内容,甚至是为了预防或调查最严重的犯罪。” Facebook 周二的信是为回应巴尔十月份的询问而发出的,并且是在参议院司法部门关于加密的听证会之前发出。主席Lindsey Graham(R-SC)告诉苹果和Facebook代表,他赞赏“人们无法侵入我的手机这一事实”,但是加密的设备和消息传递为罪犯和剥削儿童提供了“避风港”。 在听证会上,Facebook消息传递隐私总监Jay Sullivan告诉参议员,该公司认为“美国公司在安全和加密消息传递领域处于领先地位至关重要”,因为如果不是这样,国外的公司将提供相同的服务。Sullivan建议,如果是这样的话,这些公司将遥不可及,并且可能不会与美国执法人员合作。Facebook和其他大型科技公司在针对涉及数据隐私和内容审查的更广泛的监管威胁时,一再对外国政府做出类似的声明。   (稿源:cnBeta,封面源自网络。)

因个人账户被封 以色列网络监控公司 NSO 的员工起诉 Facebook

据路透社报道,以色列网络监控公司NSO Group的一群员工周二对Facebook提起诉讼,称这家社交媒体巨头在上个月起诉NSO时不公平地删除了其个人帐户。Facebook旗下的消息服务WhatsApp上个月在一起法律诉讼中指控NSO,称这家公司帮助政府间谍窃取了1400名Facebook用户信息,其攻击目标包括外交官、政治异议人士、记者和政府高级官员等。 NSO员工表示,他们的Facebook和Instagram帐户以及此前的员工和家庭成员的帐户已被封。他们向特拉维夫地方法院请愿,要求Facebook解封这些帐户,他们声称这是突然发生的,在此之前并未收到通知。 Facebook在一份声明中表示,在将“复杂的网络攻击”归因于NSO Group及其员工之后,其已禁用了“相关帐户”。该公司表示,出于安全考虑,继续这些行动“是必要的,包括防止其他攻击。”该公司补充说,它已通过上诉程序重新启用了一些帐户。 NSO员工在声明中表示,由于Facebook针对NSO进行的法律程序,Facebook选择关闭个人帐户而施加了“集体惩罚”。他们还表示,他们的诉讼是在他们多次向Facebook提出要求而未得到答复之后才提出的。 声明指出:“关闭我们的个人帐户是Facebook的一种伤害性且不公正的举动。搜索和使用个人数据的想法对我们非常困扰”。这些员工表示,他们将继续“通过我们正在开发的技术,帮助世界各国政府预防犯罪和恐怖主义”。 WhatsApp指责NSO促进了20个国家/地区的政府黑客行为。唯一确定的国家是墨西哥,阿联酋和巴林。NSO则否认了这些指控。 周一在特拉维夫举行的一次技术会议上,NSO总裁Shiri Dolev为该公司辩护,称NSO技术使整个世界更加安全。Dolev还表示,她希望NSO可以公开谈论其在帮助执法机构抓捕恐怖分子方面所发挥的作用。 她表示:“恐怖分子和罪犯每天都在使用社交平台和应用程序……”Dolev补充说,NSO不会将该技术用于入侵手机。她表示:“我们开发了专门卖给政府情报机构的技术。”   (稿源:cnBeta,封面源自网络。)

恶意 SDK 收集 Facebook 和 Twitter 用户个人数据

据Facebook和Twitter透露,一些第三方应用未经用户同意便获取了用户的个人信息。 这些第三方iOS和Android应用程序使用了恶意SDK。SDK被用来展示广告,不过专家们注意到,一旦使用这些应用程序将社交网络的用户登录到任一服务中,SDK就会静默访问其个人资料并收集信息,包括用户名,电子邮件地址和推文。 这些恶意SDK是由营销公司OneAudience开发的。推特已经将这个消息告知其用户。 “我们最近收到了一份有关由恶意SDK的报告。 这个问题不是由于Twitter软件中的漏洞所致,而是由于应用程序内的SDK之间缺乏隔离性。我们的安全团队已经确定,可以嵌入到移动应用程序中的恶意SDK可能会利用移动生态系统中的漏洞访问并获取个人信息(电子邮件,用户名,最新一条推文)。 ” 即使专家没有发现证据表明恶意SDK会被用来控制Twitter帐户,他们仍然没有排除黑客可能使用SDK进行攻击的可能性。 Twitter知道恶意SDK已经通过Android设备访问某些Twitter帐户的个人数据,但iOS设备还没有出现过类似的事件。 Twitter向Google和Apple以及其他同行报告了此事件,并呼吁采取相对应的措施来阻止包含其代码的恶意SDK和应用。 Facebook发现了两个具有类似目的SDK,它们分别是One Audience和Mobiburn。 据称,恶意SDK收集了个人资料信息,包括姓名,性别和电子邮件地址。 Facebook发言人告诉 The Register: “安全研究人员最近向我们通报了One Audience和Mobiburn,他们收买开发人员,以在应用中使用恶意SDK。” “经过调查后,我们根据违反平台政策的原因将其应用程序从平台上删除,并向One Audience和Mobiburn发出了终止信函。如果用户的操作可能使他们的身份信息遭到泄露,我们将提示他们保护好自己的姓名,邮箱和性别等信息。我们希望用户在允许第三方应用程序访问其社交媒体帐户时保持谨慎。” oneAudience没有对此事件发表评论,但与此同时MobiBurn发表声明,否认其正在收集Facebook数据,并宣布对使用其SDK的第三方应用程序展开调查。 “MobiBurn没有收集,共享或分享来自Facebook的数据获利。 MobiBurn主要通过捆绑销售来充当数据业务的中介,例如捆绑第三方开发的SDK。 MobiBurn 无权访问移动应用程序开发人员收集的任何数据,也不处理或存储此类数据。 我们仅向移动应用程序开发人员介绍数据运营公司。不过MobiBurn目前已经停止了所有活动,直到我们结束对第三方的调查。”   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

当iPhone用户滚动Facebook提要时,Facebook将秘密使用用户的相机

Facebook 又一个隐私问题曝光?iPhone用户Joshua Maddux推测Facebook可能会在用户查看Feed时使用相机。 Maddux在Twitter上发布的素材显示,他的手机摄像头在他滚动Feed时处于激活状态。 “当您在应用中打开照片并向下滑动时,由于存在一个bug,屏幕左侧会出现一个小细条用来摄像,这下子问题便显而易见了。TNW能够独立复现这个漏洞。” The Next Web 报道。 专家成功在iOS 13.2.2 版本中实现了漏洞复现,但是iOS 12不受影响。 Maddux补充说,他在五台运行iOS 13.2.2的iPhone设备上发现了相同的问题,但无法在iOS 12上复现。 “我观察到iPhone正在运行的iOS 12没有显示相机(不是说它没有被使用),” Maddux说。 TNW的人员注意到,仅当用户授予Facebook应用程序对您的相机的访问权限时,才会出现此问题。 在撰写本文时,仍不清楚该问题是否是预期的行为,该问题不适用于Android设备。 奥地利开发人员和Google工程师Felix Krause在2017年10月描述了类似的问题。专家解释说,iOS应用程序开发人员可以利用该漏洞,通过启动用户的前置和后置摄像头,来拍摄照片并录制实时视频。 根据Krause在博客文章中分享的技术文章 ,iPhone用户永远不会收到任何通知。 据专家分析,当前解决此问题的最佳方法是取消其摄像头访问权限。   消息来源:SecurityAffairs, 译者:r4938n,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

美加州下令要求 Facebook 交出涉嫌侵犯用户隐私的相关信息

据外媒报道,当地时间周三,美国加州司法部长Xavier Becerra表示,Facebook拒绝遵守要求其提供更多关于对其涉嫌侵犯用户隐私的调查信息的传票。在当地时间周三下午的新闻发布会上,Becerra谈到了加州对Facebook的诉讼,要求该公司交出任何跟隐私和第三方获取用户数据有关的文件,就像在剑桥分析丑闻中做的那样。 该诉讼是在加州高等法院提起的,希望借此迫使该公司交出通信和文件。 “如果Facebook遵守了我们的合法调查请求,”Becerra说道,“我们今天就不会发布这个声明。” Becerra指出,Facebook“没有完全回应”他办公室提出的信息要求。“今天我们公开这些信息是因为我们别无选择。”   (稿源:cnBeta,封面源自网络。)