Update: Facebook aktualisiert Hack-Betroffenenzahl

Update 15. Oktober 2018:

Facebook hat am letzten Freitag mitgeteilt, dass die ursprünglich angenommene Zahl von 50 Millionen betroffenen Usern zu hoch geschätzt war. Reuters schreibt, Facebook gehe nun von 29 Millionen gehackten Accounts aus. Trotzdem warnen besonders Cybersecurity-Experten, dass die Hacker die gestohlenen Informationen für gezielte Phishing-Angriffe nutzen könnten. Guy Rosen, Vice President von Facebook, teilte mit, dass das U.S. Federal Bureau of Investigation gebeten habe, die Informationen über die Hacker aufgrund einer eingeleitenden Untersuchung zurück zu halten.

Update 9. Oktober 2018:

Wie inside-channels schreibt, hat Microsoft Entwarnung für den Service "Azure Active Directory B2C" gegeben. Demnanch seien die Unternehmenskunden nicht vom Facebook-Hack gefährdet, obschon Nutzer dieses Services ihren Kunden ermöglichen können, sich mit einer Facebook-ID in Webseiten- und -Services einzuloggen, die auf Azure laufen. Trotzdem funktioniere die Methode um Zugriff auf Facebook-Profile zu bekommen bei Azure-Service nicht, konstatiert Microsoft. Viele Unternehmen nutzen die vorgefertigten Module der Cloud-Plattform und erlauben ihren Konsumenten zwecks Bequemlichkeit sich über Facebook-IDs, Amazon-IDs, Google-IDs und viele mehr in auf Azure laufende Websites einzuloggen.

Update 4. Oktober 2018:

Irland hat bekanntgegeben, dass es gegen Facebook wegen des Hackerangriffs ermittelt. Wie Watson berichtet, will die Datenschutzbehörde Irlands herausfinden, ob Facebook angemessene technische und organisatorische Massnahmen ergriffen hat, um nach Massgabe der Datenschutzverordnung die Sicherheit der persönlichen Daten zu gewährleisten. Die Europa-Zentrale von Facebook ist in Irland ansässig und könnte durch die im Mai in Kraft getretene EU-DSGVO eine hohe Geldstrafe treffen, falls das Unternehmen den Datenschutzanforderungen nicht genügend nachgekommen sei. Laut Watson beliefe sich die Strafe gegen Facebook auf 1,4 Milliarden Euro.

Wie inside-it.ch schreibt, waren beim Facebook-Hack auf 50 Millionen Konten auch Token im Spiel, die von Drittanbietern wie Spotify genutzt werden. Die Lücke war ausserdem schon seit Juli 2017 vorhanden. Deshalb gehen verschiedene Experten davon aus, dass Millionen weitere Profile betroffen sein könnten. Das Zurücksetzen der Facebook-Token könnte als Schutzmassnahme ausserdem nicht genügen, da viele Websites die Facebook-User-Token nicht mit den offiziellen SDKs validieren. Die Hacker könnten sich mit den gestohlenen Token in Apps eingeloggt und diesen Account übernommen haben, um anschliessend ein neues Passwort festzulegen. Informatik-Professor Jason Polakis von der University of Illinois in Chicago erläuterte, dass die Hacker auch einfach warten könnten bis ein Benutzer sich wieder einloggt, um die Daten dann zu erbeuten.

Artikel vom 1. Oktober 2018:

Eine Sicherheitslücke bei Facebook hat Hackern Zugriff auf die Informationen von fast 50 Millionen Nutzern gegeben. Das Social-Media-Netzwerk teilte am Freitag mit, dass es die Schwachstelle eruiert und geschlossen hätte.

Wie es in der Mitteilung heisst, machten sich die Hacker eine Funktion zu nutze, mit der Facebook-Nutzer sich ihr Profil aus der Perspektive anderer Nutzer anzeigen lassen können. Durch diese Schwachstelle konnten die Hacker auf den Geräten gespeicherte Langzeitschlüssel, sogenannte Access-Token, übernehmen. Mit dem Langzeitschlüssel sei es möglich als Nutzer ohne Passworteingabe schneller in das Profil zu gelangen.

In ihrem Security-Update konstatierte Facebook, dass die Angreifer damit theoretisch vollen Zugang auf die betroffenen Profile hätten. Jedoch sei es unklar, ob sie ihren Zugriff auf die Konten missbraucht oder lediglich Informationen eingesehen hätten, jedoch gebe es keine konkreten Hinweise darauf, dass private Nachrichten abgerufen wurden. Facebook kennt die Rädelsführer hinter dem Angriff nicht, jedoch habe das weltweit grösste Online-Netzwerk die betreffende Funktion präventiv abgeschaltet. Zusätzlich habe Facebook die Tokens der betroffenen Accounts zurückgesetzt, weshalb sich Nutzer auf ihren Geräten neu anmelden müssen. Eine Änderung des Passworts sei aber nicht nötig.