צ'ק פוינט חושפת: איתרנו חולשת אבטחה ב-Facebook
מאת: חיים חביב, 7.6.16, 11:49

ישנן מספר דרכי תקיפה פוטנציאליות, שיכולות לנצל חולשה זו ולהוביל להשפעה חמורה על משתמשים, בשל התפקיד החיוני של פייסבוק בפעילויות יומיומיות ברחבי העולם.

פייסבוק היא הרשת החברתית הגדולה בעולם ומשרתת למעלה ממיליארד משתמשים, בהם מאות מיליונים העושים שימוש ישיר בממשק המסרים ובמסנג'ר. אין זה מפתיע, שמוצרי החברה מהווים יעד מועדף להתקפות סייבר רבות.

צ'ק פוינט טכנולוגיות תוכנה הודיעה היום, שדיווחה לחברת פייסבוק על כשל אבטחה, שאיתרה בממשק המסרים האינטרנטי ובאפליקציית Messenger הפופולריות בקרב מאות מיליוני משתמשים ברחבי העולם. התקלה טופלה בשיתוף פעולה בין החברות פייסבוק וצ'ק פוינט.

מהי החולשה?
רומן זאיקין, חוקר אבטחה בצ'ק פוינט, גילה את החולשה במערכת המסרים המקוונת של Facebook. החולשה מאפשרת לתוקפים זדוניים לשלוט על תוכן המסרים, שנשלח למשתמש הן באתר Facebook והן באפליקציה ועל ידי כך יכולים התוקפים לערוך, למחוק ולהוסיף תוכן להודעות שכבר נשלחו.

צ'ק פוינט חשפה בפני פייסבוק את כשל האבטחה כבר בראשית חודש מאי, והאחרונה הגיבה מיד ובשיתוף פעולה עם צ'ק פוינט היא חסמה ותיקנה את הכשל. למידע נוסף שהעלה מגלה התקלה זאיקין ליוטיוב, ר' כאן.

איזה נזק עלול היה להיגרם כתוצאה מחולשת אבטחה זו?
ישנן מספר דרכי תקיפה פוטנציאליות, שיכולות לנצל חולשה זו ולהוביל להשפעה חמורה על משתמשים, בשל התפקיד החיוני של פייסבוק בפעילויות יומיומיות ברחבי העולם. משתמשים רבים משתמשים בממשק המסרים המיידיים של פייסבוק לצורכי תקשורת בין אישית ועסקית, לכן, חולשה זו נתפסת אטרקטיבית יותר בעיני תוקפים ומשתמשים זדוניים. פוטנציאל התקיפה דרך חולשה זו כולל:

·        יכולת להשפיע בעורמה על היסטוריית ההודעות כחלק מההונאה, דרך שינוי היסטוריית שיחה וטענה להסכם מזויף עם הקורבן, או שינוי תנאי ההסכם.

·        יכולת לזייף, לשנות או להעלים מידע חיוני מתוך תוכנת המסרים של פייסבוק ובעקבות כך לגרום להשלכות משפטיות חמורות.
היסטוריית ההתכתבות בתוכנות המסרים משמשת ברחבי העולם כראייה משפטית. חולשה זו פותחת דלת להעלמת ראיות או הפללה של אנשים חפים מפשע.

·        יכולת הפצה של תוכנות זדוניות - תוקף יכול להחליף קישור לגיטימי בקישור זדוני, לפתות את המשתמש לפתוח את הקישור ולעדכן את הקישור בכתובת שרת ההדבקה החדש.
 
עודד ואנונו, ראש מחקר חולשות מוצרים בצ'ק פוינט: "ע"י ניצול חולשה זו, יכולים פושעי סייבר לשנות את כל תוכן ההתכתבות מבלי שהקורבן התמים יבחין בכך, ומה שיותר גרוע, האקרים כולים ליישם טכניקות אוטומציה כדי לשמר על שרתי ההדבקה פעילים לזמן ממושך ככל הניתן".