• IT-Karriere:
  • Services:

Zugangstoken erbeutet: Unbekannte hacken 50 Millionen Facebook-Konten

Bislang unbekannte Angreifer haben möglicherweise Zugang zu fast 50 Millionen Facebook-Profilen bekommen. Das Ausmaß der Attacke ist noch nicht völlig klar, die irische Datenschutzbehörde fordert Aufklärung.

Artikel veröffentlicht am , / dpa
Facebook hat eine schwere Sicherheitslücke entdeckt.
Facebook hat eine schwere Sicherheitslücke entdeckt. (Bild: Eric Gaillard/Reuters)

Fast 50 Millionen Facebook-Nutzer sind von einem Hackerangriff mit noch unklaren Folgen betroffen. Die Angreifer hätten Zugangstoken erbeutet, mit denen sie "die Profile nutzen konnten als seien es ihre eigenen", sagte Facebook-Manager Guy Rosen am Freitag. Nach bisherigen Erkenntnissen riefen die Hacker aber keine Nachrichten des Facebook-Messengers ab oder versuchten, Inhalte im Namen der betroffenen Nutzer zu posten. Kreditkartendaten oder andere Informationen seien ebenfalls nicht abgeflossen, sagte Facebook nach Angaben von Ars Technica.

Stellenmarkt
  1. InnoGames GmbH, Hamburg
  2. Phoenix Contact GmbH & Co. KG, Blomberg

Allerdings hätten die Angreifer in großem Stil Profil-Informationen wie Name, Geschlecht und Wohnort abgerufen. Dadurch sei die Attacke auch aufgefallen. Bisher habe Facebook keinen bestimmten Fokus auf bestimmte Regionen oder Nutzergruppen feststellen können.

Urheber völlig unklar

"Wir wissen nicht, wer hinter dieser Attacke steckt", sagte Gründer und Chef Mark Zuckerberg in einer eilig einberufenen Telefonkonferenz. Man werde das möglicherweise auch nie erfahren, fügte Produktchef Rosen hinzu. Die Attacke sei am Dienstag entdeckt und die Schwachstelle inzwischen geschlossen worden, hieß es. Man habe auch die US-Bundespolizei FBI eingeschaltet. Gemäß der neuen EU-Datenschutzgrundverordnung (DSGVO) seien zudem Behörden in Irland unterrichtet worden.

Die Angreifer hätten eine Sicherheitslücke in der "Anzeigen aus der Sicht von"-Funktion ausgenutzt, mit der Facebook-Mitglieder sich ihr Profil aus der Sicht anderer Nutzer anzeigen lassen können, erläuterte das Unternehmen. Die Schwachstelle sei im Juli 2017 durch eine Kombination aus drei Software-Fehlern im Zusammenhang mit dem Video-Upload-Tool entstanden, erläuterte Rosen. Zunächst einmal sei der Video-Uploader fälschlicherweise in der "Anzeigen aus der Sicht von"-Ansicht angezeigt worden. Für bestimmte Posts wie Geburtstagsgrüße, sei der Uploader aktiv gewesen.

Uploader generierte falsches Token

Der nächste Bug habe darin bestanden, dass der Uploader ein Single-Sign-on-Token generiert habe, was laut Rosen nicht zulässig war. Das eigentliche Problem war allerdings der dritte Bug: Der Uploader generierte nicht ein Token des Nutzers, sondern derjenigen Person, aus deren Sicht sich der Nutzer seine eigene Seite ansah. Die Hacker entdeckten nicht nur die Kombination der Bugs, sondern waren offenbar auch in der Lage, sie millionenfach auszunutzen.

Die Funktion mit der Anzeige des Profils aus anderen Perspektiven sei vorerst vorsichtshalber abgeschaltet worden, teilte Facebook weiter mit. Für weitere rund 40 Millionen Nutzer widerrief Facebook die Anmelde-Token, die mit der "Anzeigen aus der Sicht von"-Funktion genutzt worden waren.

Irische Datenschutzbehörde fordert Aufklärung

Die Attacke kommt zu einem extrem ungünstigen Zeitpunkt für das Online-Netzwerk, das noch mit den Auswirkungen des Datenskandals um Cambridge Analytica zu kämpfen hat. Zudem versucht Facebook gerade mit größten Anstrengungen, die Plattform vor den wichtigen Kongress-Wahlen in den USA im November abzusichern. Die Facebook-Aktie fiel nach der Mitteilung um drei Prozent.

Die zuständige irische Datenschutzbehörde DPC twitterte am Freitag: "Die DPC ist besorgt, dass dieser Datenvorfall am Dienstag entdeckt wurde und Millionen Nutzer betrifft. Derzeit ist Facebook nicht in der Lage, die Art des Vorfalls und die Risiken für die Nutzer zu klären. Wir drängen Facebook dazu, diese Fragen so schnell wie möglich zu klären."

Die Ende Mai 2018 in Kraft getretene DSGVO bietet den Aufsichtsbehörden die Möglichkeit, deutlich höhere Bußgelder als zuvor zu verhängen. Artikel 83, Nummer 4 der DSGVO sieht bei schweren Verstößen Geldbußen in Höhe von bis zu zehn Millionen Euro oder bis zu zwei Prozent des Jahresumsatzes vor, wenn ein Datenverarbeiter seine Pflichten verletzt hat. Bei schweren Verstößen sind sogar doppelt so hohe Bußgelder möglich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. (-53%) 13,99€
  2. (-30%) 41,99€
  3. 39,99€
  4. 14,99€

gaym0r 01. Okt 2018

Es wurden Namen und Geschlechterinfos abgerufen. Es wurden keine Passwörter oder...

Ach 01. Okt 2018

Ein falsch verstandener Andy Warhol. Original: "In the future everybody will be world...

Tigtor 30. Sep 2018

Vielleicht einfach noch einen Satz weiter lesen ..

mambokurt 30. Sep 2018

Ich bezweifele jetzt einfach mal dass da ein unterirdischer Bunker unter der Fassade...

Niaxa 30. Sep 2018

Ziemlich hirnverbrannte Aktion, aber der Hack war gut.


Folgen Sie uns
       


DJI Robomaster S1 - Test

Was fährt da auf dem Flur entlang? Der Robomaster S1 ist ein flinker Roboter, mit dem wir Rennen fahren oder gegen andere Robomaster im Duell antreten können. Das macht einen Riesenspaß und ist auch ein guter Einstieg ins Programmieren.

DJI Robomaster S1 - Test Video aufrufen
Support-Ende von Windows 7: Für wen Linux eine Alternative zu Windows 10 ist
Support-Ende von Windows 7
Für wen Linux eine Alternative zu Windows 10 ist

Windows 7 erreicht sein Lebensende (End of Life) und wird von Microsoft künftig nicht mehr mit Updates versorgt. Lohnt sich ein Umstieg auf Linux statt auf Windows 10? Wir finden: in den meisten Fällen schon.
Von Martin Loschwitz

  1. Lutris EA verbannt offenbar Linux-Gamer aus Battlefield 5
  2. Linux-Rechner System 76 will eigene Laptops bauen
  3. Grafiktreiber Nvidia will weiter einheitliches Speicher-API für Linux

Amazon, Netflix und Sky: Disney bringt 2020 den großen Umbruch beim Videostreaming
Amazon, Netflix und Sky
Disney bringt 2020 den großen Umbruch beim Videostreaming

In diesem Jahr wird sich der Video-Streaming-Markt in Deutschland stark verändern. Der Start von Disney+ setzt Netflix, Amazon und Sky gehörig unter Druck. Die ganz großen Umwälzungen geschehen vorerst aber woanders.
Eine Analyse von Ingo Pakalski

  1. Peacock NBC Universal setzt gegen Netflix auf Gratis-Streaming
  2. Joyn Plus+ Probleme bei der Kündigung
  3. Android TV Magenta-TV-Stick mit USB-Anschluss vergünstigt erhältlich

Kaufberatung (2020): Die richtige CPU und Grafikkarte
Kaufberatung (2020)
Die richtige CPU und Grafikkarte

Grafikkarten und Prozessoren wurden 2019 deutlich besser, denn AMD ist komplett auf 7-nm-Technik umgestiegen. Intel hat zwar 10-nm-Chips marktreif, die Leistung stagniert aber und auch Nvidia verkauft nur 12-nm-Designs. Wir beraten bei Komponenten und geben einen Ausblick.
Von Marc Sauter

  1. SSDs Intel arbeitet an 144-Schicht-Speicher und 5-Bit-Zellen
  2. Schnittstelle PCIe Gen6 verdoppelt erneut Datenrate

    •  /