ElasticSearch ของแฮกเกอร์หลุด เผยปฏิบัติการขโมยข้อมูลจาก Facebook กับเหยื่อกว่า 100,000 ราย

ทีมนักวิจัยจาก vpnMentor เปิดเผยปฏิบัติการ Phishing และการหลอกลวงเอาข้อมูลบัตรเครดิคจากผู้ใช้งาน Facebook และหลังจากมีการตรวจระบบ ElasticSearch ของกลุ่มแฮกเกอร์ที่ถูกตั้งค่าไว้อย่างไม่ปลอดภัย ทำให้ทีมนักวิจัยสามารถเข้าถึงข้อมูลของเหยื่อได้

กลุ่มแฮกเกอร์ใช้วิธีการหลอกเป้าหมายใน Facebook เพื่อเข้ายึดครองบัญชีผู้ใช้งานโดยการหลอกให้ผู้ใช้งานกรอกข้อมูลสำหรับยืนยันตัวตนใส่โปรแกรมที่อ้างว่าจะช่วยให้ผู้ใช้งานทราบว่าใครเข้ามาดูหน้าโปรไฟล์ของพวกเขาได้ จากนั้น กลุ่มแฮกเกอร์จะนำข้อมูลบัญชีผู้ใช้ Facebook ที่ได้มาไปสแปมในโพสต์ต่าง ๆ ของ Facebook เพื่อหลอกลวงด้วยสถานการณ์อื่น ๆ

ในส่วนของระบบ ElasticSearch ของผู้โจมตีนั้น ทีมนักวิจัยจาก vpnMentor ระบุว่าข้อมูลซึ่งอยู่ในระบบ ElasticSearch มีขนาดประมาณ 5.5 กิกะไบต์, เก็บข้อมูลทั้งหมด 13,521,774 รายการ และมีข้อมูลของบัญชีผู้ใช้งานที่ไม่ซ้ำกันทั้งหมด 100,000 บัญชี ประวัติการใช้งานระบุว่าระบบดังกล่าวถูกเปิดใช้งานมาตั้งแต่เดือนมิถุนายนก่อนที่จะถูกตรวจพบในช่วงปลายเดือนกันยายนที่ผ่านมา

ข้อมูลในระบบ ElasticSearch ประกอบไปด้วยข้อมูลสำหรับยืนยันตัวตนของบัญชี Facebook เหยื่อ, หมายเลขไอพีแอดเดรส, เทมเพลตข้อความเพื่อใช้ในการคอมเมนต์โดยผู้โจมตี, และข้อมูลส่วนตัวอื่นๆ ในขณะนี้ทางทีมวิจัยได้มีการติดต่อไปยัง Facebook เพื่อประสานงานและแจ้งให้ผู้ใช้ได้รับทราบแล้ว

ที่มา: threatpost

กลุ่มมัลแวร์เรียกค่าไถ่ Ragnar Locker ซื้อโฆษณาใน Facebook เพื่อกดดันเหยื่อให้จ่ายค่าไถ่

กลุ่มมัลแวร์เรียกค้าไถ่ Ragnar Locker เริ่มขยับการกดดันให้เหยื่อจ่ายค่าไถ่ด้วยวิธีการใหม่ โดยการแฮกเข้าไปในบัญชี Facebook ของธุรกิจโฆษณาและใช้บัญชีดังกล่าวในการสร้างโฆษณาเพื่อประกาศการโจมตี Campari Group ซึ่งเป็นเหยื่อรายล่าสุดของทางกลุ่ม

การโจมตี Campari Group เกิดขึ้นเมื่อช่วงปลายเดือนตุลาคมที่ผ่านมา ผู้โจมตีอ้างว่าสามารถเข้าถึงและขโมยข้อมูลออกมาได้กว่า 2 เทระไบต์ก่อนจะเริ่มกระบวนการเข้ารหัสและเรียกค่าไถ่ โดยเงื่อนไขในการขู่กรรโชกนั้นคือการจ่ายเงินกว่า 15 ล้านดอลลาร์สหรัฐฯ เพื่อแลกกับการถอดรหัสและการยับยั้งไม่ให้แฮกเกอร์เปิดเผยข้อมูลที่ขโมยมา

เนื้อหาในโฆษณาที่กลุ่ม Ragnar Locker กระจายใน Facebook นั้นมีการพูดถึงการโจมตี Campari Group พร้อมคำขู่ว่าจะมีการปล่อยข้อมูลที่ขโมยออกมาได้เพิ่มหากผู้เสียหายไม่มีการจ่ายค่าไถ่ภายใต้เงื่อนไขที่กำหนด โฆษณาดังกล่าวถูกแสดงให้ผู้ใช้งาน Facebook เห็นว่า 7,000 ครั้งก่อนจะถูกระบบของ Facebook ตรวจจับและปิดการเข้าถึง

ที่มา: bleepingcomputer | threatpost

บัญชี Facebook 267 ล้านรายการถูกแฮกเกอร์นำมาวางขายในแฮกเกอร์ฟอรัม

บริษัท Cyble ผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ได้กล่าวว่าในเดือนธันวาคม 2019 เว็บไซต์ Hackread.com รายงานว่าเซิร์ฟเวอร์ Elasticsearch ได้ทำการกำหนดการค่าผิดทำให้เปิดเผยข้อมูลส่วนบุคคลของผู้ใช้ 267 ล้านคน ข้อมูลส่วนใหญ่เป็นของผู้ใช้ในสหรัฐอเมริกาและมีโปรไฟล์ Facebook, ชื่อเต็ม, ไอดีของผู้ใช้บัญชีและ timestamp ของบัญชี

บริษัท Cyble ผู้เชี่ยวชาญด้านไซเบอร์ซีเคียวริตี้ได้พบบัญชีผู้ใช้ Facebook ถูกนำมาวางขายถึง 267 ล้านบัญชี มีราคาขายประมาณ $600 บนแฮกเกอร์ฟอรัม ข้อมูลที่ถูกขายนั้นประกอบไปด้วย ลิงก์ที่เข้าถึงโปรไฟล์ Facebook, ชื่อ, ที่อยู่, อีเมล, หมายเลขโทรศัพท์, อายุ, วันเดือนปีเกิด, สถานะ, เพศ, และเมืองที่อาศัย

ผู้เชี่ยวชาญคาดว่าเป็นข้อมูลที่ถูกขายนั้นเป็นข้อมูลชุดเดียวกันกับการรั่วไหลข้อมูลของ Elasticsearch ผู้เชี่ยวชาญได้ทำการซื้อและวิเคราะห์ข้อมูลที่ถูกขาย ข่าวดีคือไม่มีรหัสผ่านของผู้ใช้ แต่ข้อมูลที่ถูกขายนั้นเพียงพอที่จะสามารถดำเนินการทำฟิชชิงบัญชีของผู้ที่ตกเป็นเหยื่อ

ผู้เชี่ยวชาญยังกล่าวอีกว่าในเดือนมีนาคม 2019 บริษัท Facebook ได้เปิดเผยต่อสื่อว่าบริษัทได้ทำการเก็บรหัสผ่านผู้ใช้ 600 ล้านข้อความเป็น Plain Text และมีรหัสผ่านของพนักงานมากกว่า 20,000 คน และเมื่อวันที่ 4 เมษายน 2019 ข้อมูลส่วนตัวของผู้ใช้ Facebook กว่า 540 ล้านคนถูกเปิดเผยต่อสาธารณเนื่องจากไม่มีการป้องกันข้อมูลที่ฝากข้อมูลจาก Amazon Web Services (AWS) S3

ข้อเเนะนำจากผู้เชี่ยวชาญ
ผู้ใช้ Facebook ควรทำการตั้งค่าความเป็นส่วนตัวในโปรไฟล์ Facebook และระมัดระวังอีเมลหรือข้อความที่ส่งลิงค์มาเชิญชวนให้เปลี่ยนรหัสผ่านรวมถึงการให้ตั้งค่า

ที่มา: www.

Facebook Removed Tens of Thousands of Apps Post-Cambridge Analytica

Facebook ระงับแอปนับหมื่นหลังจากกรณี Cambridge Analytica

Facebook ระงับแอปนับหมื่นบนแพลตฟอร์มหลังจากการสืบสวนที่เริ่มต้นมาจากกรณีที่ Cambridge Analytica ระบุว่าใช้แอปของ Facebook ในการรวบรวมข้อมูลจากการสืบสวนที่กำลังกำเนิดอยู่เกี่ยวแอปที่จัดการและใช้ประโยชน์กับข้อมูลส่วนบุคคลผู้ใช้งาน การสืบสวนนี้เป็นการตอบสนองของเหตุการณ์ Cambridge Analytica ที่ถูกเปิดโปงเมื่อเดือนมีนาคม 2018

แอปนับหมื่นที่เกี่ยวข้องกับ 400 นักพัฒนาได้ถูกระงับหรือแบนอย่างถาวร Facebook กล่าวว่าหลายแอปมีการถามข้อมูลที่ไม่สมเหตุสมผลที่กลายเป็นข้อมูลที่เปิดเผยต่อสาธารณะโดยไม่มีการปิดบังเจ้าของข้อมูล ซึ่งถือว่าเป็นการละเมิดนโยบายของ Facebook อย่างชัดเจน

Facebook เน้นว่าบางแอปที่ถูกระงับยังไม่ได้ละเมิดความเป็นส่วนตัวของผู้ใช้งาน โดยหลายๆ แอปที่ถูกแบนยังอยู่ในช่วงทดสอบระบบและยังไม่ได้ถูกใช้งานจริง

ที่มา : threatpost.

Facebook admits to storing plaintext passwords for millions of Instagram users

Facebook ออกแถลงการณ์ยอมรับว่าได้เก็บรหัสผ่านของผู้ใช้ Instagram นับล้านผู้ใช้ในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน

Facebook ออกแถลงการณ์เพื่ออัปเดตข้อมูลจากเหตุการณ์เมื่อเดือนที่แล้วที่พบว่ามีการจัดเก็บรหัสผ่านของผู้ใช้จำนวนมากในรูปแบบการจัดเก็บเป็นข้อความธรรมดาบน log ของเซิร์ฟเวอร์ภายใน ประกอบไปด้วยรหัสผ่านของผู้ใช้งาน Facebook Lite จำนวนหลายร้อยล้านผู้ใช้ รหัสผ่านของผู้ใช้ Facebook จำนวนหลายสิบล้านผู้ใช้และรหัสผ่านของบัญชี Instagram จำนวนหลายหมื่นผู้ใช้ แต่จากการตรวจสอบเพิ่มเติมล่าสุด Facebook พบว่ามีการจัดเก็บรหัสผ่านของบัญชี Instagram มากกว่านั้นเป็นจำนวนกว่าล้านผู้ใช้งาน

โดยรหัสผ่านดังกล่าวถูกจัดเก็บในรูปแบบข้อความธรรมดา (plain text) บน log ของเซิร์ฟเวอร์ภายในของ Facebook โดย log สามารถเข้าถึงได้โดยพนักงานของ Facebook เท่านั้น และจากการสอบสวนพบว่ายังไม่มีการใช้งานรหัสผ่านดังกล่าวในทางที่ผิดจากการพนักงานของ Facebook ซึ่งจะมีการแจ้งผู้ใช้งานที่ได้รับผลกระทบต่อไป

ทั้งนี้ผู้ใช้งาน Instagram ควรทำการเปลี่ยนรหัสผ่านเพื่อความปลอดภัย

ที่มา: www.

Facebook bug exposed private photos of 6.8M users to third-party developers

ข้อบกพร่องของ Facebook ทำให้ภาพถ่ายส่วนตัวของผู้ใช้กว่า 6.8 ล้านคนถูกเปิดเผย

นักพัฒนาของ Facebook ออกมาเปิดเผยการค้นพบ bug ใน API ที่ทำให้แอพพลิเคชั่นภายนอกสามารถเข้าถึงรูปภาพของผู้ใช้ที่ถูกอัพโหลดเอาไว้ แม้จะยังไม่ได้ยินยอมหรือกดแชร์ก็ตาม รวมถึงรูปภาพที่อัพโหลดไปยัง Facebook Stories และ Marketplace ซึ่งไม่น่าแปลกใจ เพราะ Facebook จะ copy ทุกอย่างที่ผู้ใช้เคยทำเพื่อไปใช้แสดงเป็น timeline

Facebook ได้ออกมาขอโทษและแสดงความเสียใจต่อปัญหาที่เกิดขึ้นนี้ พร้อมกับให้ข้อมูลว่าปัญหานี้ทำให้แอพพลิเคชั่นภายนอกกว่า 1,500 รายการจากนักพัฒนา 876 คนสามารถเข้าถึงรูปผู้ใช้ได้ระหว่างวันที่ 13 กันยายนถึง 25 กันยายนที่ผ่านมา คาดว่ามีผู้ใช้งานที่ได้รับผลกระทบกว่า 6.8 ล้านคน โดยแอพพลิเคชั่นที่เข้าถึงรูปจากข้อผิดพลาดนี้จะเป็นแอพพลิเคชั่นที่ Facebook อนุญาตให้เข้าถึงผ่านทาง API และผู้ใช้ให้สิทธิ์เข้าถึงรูปภาพบน Facebook

Facebook แจ้งว่าจะมีการปล่อยเครื่องมือสำหรับนักพัฒนาแอพพลิเคชั่นเพื่อตรวจสอบว่ามีผู้ใช้แอพพลิเคชั่นที่พัฒนาขึ้นมา แล้วได้รับผลกระทบจากปัญหานี้บ้าง รวมถึงจะร่วมมือกับนักพัฒนาแอพพลิเคชั่นในการลบภาพที่หลุดไปเหล่านั้น ขณะเดียวกันก็จะมีการแจ้งเตือนบน Facebook timeline ของผู้ใช้ที่อาจได้รับผลกระทบว่ารูปภาพเหล่านั้นอาจหลุดออกไปโดยไม่ตั้งใจ และแสดงข้อมูลเพิ่มเติมผ่านทางหน้า Help Center ด้วย พร้อมระบุชื่อแอพพลิเคชั่นที่ได้รับผลกระทบเพื่อให้ตรวจสอบว่าได้ใช้งานหรือไม่ด้วย

ที่มา:thehackernews.

30 Million Facebook Accounts Were Hacked: Check If You’re One of Them

Facebook 30 ล้านบัญชีถูกแฮ็ก ตรวจสอบหากคุณเป็นหนึ่งในนั้น

ปลายเดือนที่แล้ว Facebook ประกาศว่ามีการละเมิดความปลอดภัยที่แย่ที่สุดเท่าที่เคยมีมาซึ่งทำให้แฮกเกอร์สามารถขโมยโทเค็นการเข้าถึงข้อมูลของบัญชีผู้ใช้งานนับล้านโดยการใช้ประโยชน์จากความสามารถ 'View As' ในขณะที่การเปิดเผยครั้งแรก Facebook คาดว่าจำนวนผู้ใช้ที่ได้รับผลกระทบจากการละเมิดอาจอยู่ที่ประมาณ 50 ล้านบัญชี แม้ว่าการเปิดเผยล่าสุดจะลดจำนวนลงเหลือ 30 ล้านบัญชี

แฮกเกอร์สามารถเข้าถึงข้อมูลส่วนบุคคลจากผู้ใช้ Facebook ได้ถึง 29 ล้านรายแม้ว่าบุคคลเหล่านี้จะไม่มีการเข้าถึงข้อมูลจากแอพฯอื่น (third-party app) รองประธาน Facebook Guy Rosen ได้โพสต์บล็อกเมื่อเช้าวันศุกร์ที่ผ่านมา เพื่อให้รายละเอียดเพิ่มเติมเกี่ยวกับการละเมิดความปลอดภัยจำนวนมากในครั้งนี้ โดยแจ้งว่าแฮกเกอร์ขโมยข้อมูลจากบัญชีที่ได้รับผลกระทบดังต่อไปนี้
1. เหยื่อ 15 ล้านคน : ข้อมูลที่รั่วไหลประกอบด้วยชื่อผู้ใช้งาน และข้อมูลติดต่อ (เบอร์โทร, อีเมล, หรือทั้งคู่)
2. เหยื่อ 14 ล้านคน : ข้อมูลที่รั่วไหลจะเท่ากลุ่มที่ 1 แต่มีข้อมูลอื่นเพิ่มเติม ได้แก่ เพศ, สถานะความสัมพันธ์, ศาสนา, เมืองเกิด, เมืองที่อยู่, วันเกิด, ภาษา, อุปกรณ์ที่ใช้อยู่, การศึกษา, ที่ทำงาน, ตำแหน่งที่เช็คอินหรือถูก tag 10 ตำแหน่งล่าสุด, และข้อความค้นหาล่าสุด 15 ข้อความ
3. เหยื่อ 1 ล้านคน : ไม่มีข้อมูลใดๆ รั่วไหล

ไม่พบว่าข้อมูล Messenger, Messenger Kids, Instagram, WhatsApp, Oculus, Workplace, Pages, ข้อมูลการชำระเงิน, third-party แอพพลิเคชั่น, ข้อมูลการโฆษณาหรือบัญชีที่ใช้พัฒนาซอฟต์แวร์ มีการรั่วไหลแต่อย่างใด

Facebook ได้เปิดช่องทางผ่าน Help Center ให้ผู้ใช้งานสามารถตรวจสอบได้ว่าพวกเขาได้รับผลกระทบจากเหตุการณ์ในครั้งนี้หรือไม่ นอกจากนี้ Facebook จะแจ้งผู้ใช้ 30 ล้านคนที่ได้รับผลกระทบ เพื่อแจ้งว่าข้อมูลใดที่ผู้โจมตีสามารถเข้าถึงได้พร้อมกับขั้นตอนที่ควรทำเพื่อช่วยป้องกันตัวเองจากอีเมลที่น่าสงสัย ข้อความหรือสายโทรศัพท์

จนถึงปัจจุบันเป้าหมายของแฮกเกอร์ยังคงไม่ชัดเจน แต่ Rosen กล่าวว่า Facebook กำลังทำงานร่วมกับ FBI, คณะกรรมาธิการการค้าแห่งสหพันธรัฐแห่งสหรัฐอเมริกา, สำนักงานคณะกรรมการป้องกันข้อมูลไอริชและหน่วยงานอื่น ๆ เพื่อตรวจสอบว่าใครจะอยู่เบื้องหลัง และมีการกำหนดเป้าหมายใดเฉพาะหรือไม่

Help Center : [https://www.

Facebook: No evidence attackers accessed third-party apps

Facebook ไม่มีพบหลักฐานของผู้บุกรุกที่สามารถเข้าถึงแอพฯ อื่นๆ (third-party) ได้

จากกรณีเมื่อสุดสัปดาห์ที่ผ่านมา Facebook เปิดเผยว่าพบว่ามี access token มากกว่า 50 ล้านบัญชีรั่วไหล หลายคนกลัวว่า Token ที่ถูกขโมยไปจะถูกนำไปใช้ในการเข้าถึงบริการอื่น ๆ (third-party) ซึ่งรวมถึง Instagram และ Tinder ผ่านทาง Facebook login แต่ข่าวดีล่าสุดจาก Guy Rosen ซึ่งเป็น Facebook Security VP ระบุว่าไม่พบหลักฐานใดๆ ที่สามารถพิสูจน์ว่าบริการอื่นๆ จาก third-party ที่ใช้งานผ่านทาง Facebook login ได้รับผลกระทบจากเหตุการณ์ในครั้งนี้

แต่นั่นไม่ได้หมายความว่า Token ที่ถูกเพิกถอนจาก Facebook จะไม่ก่อให้เกิดภัยคุกคามต่อบริการอื่น ๆ (third-party) ปัจจัยดังกล่าวนั้นขึ้นอยู่กับเว็บไซต์ดังกล่าวว่าได้มีการใช้งาน Facebook official SDKs เพื่อทำการตรวจสอบผู้ใช้งานของตนหรือไม่ โดย SDKs ที่ปรับปรุงนี้ จะช่วยผู้พัฒนา (developer) สามารถตรวจสอบได้เองว่าผู้ใช้งานคนไหนที่ได้รับผลกระทบจากเหตุการณ์ในครั้งนี้ แม้ว่า Facebook จะประกาศว่าไม่พบการเข้าถึงบริการของแอพฯอื่นๆ จากเหตุการณ์ในครั้งนี้ แต่บริการบางอย่าง เช่น Uber ก็ยังคงทำตามขั้นตอนที่จำเป็นเพื่อปกป้องผู้ใช้ของตน โดยการสั่งให้ session ทั้งหมดหลังเหตุการณ์นี้ที่ยังค้างอยู่ในระบบให้หมดอายุการใช้งานทันที และตรวจสอบเหตุการณ์ครั้งนี้ด้วยตนเอง

จากประเด็นการโจมตีในช่องโหว่นี้ส่งผลให้สหภาพยุโรป (EU) อาจปรับเงิน Facebook ได้ถึง 1.63 พันล้านดอลลาร์ (ประมาณ 5.1 หมื่นล้านบาท) ตามกฎการคุ้มครองข้อมูลทั่วไป (GDPR) ทั้งนี้ที่ผ่านมา EU ยังไม่เคยใช้ GDPR เป็นเครื่องมือลงโทษปรับผู้กระทำผิดมากนัก กรณีนี้จึงเป็นที่น่าจับตาว่า EU จะลงโทษ Facebook หรือไม่ และมากน้อยแค่ไหน

ที่มา : zdnet , thehackernews

Facebook Hacked — 10 Important Updates You Need To Know About

ถ้าหากพบว่า Account facebook ของคุณถูก logout โดยที่ไม่ทราบสาเหตุในช่วงนี้ ไม่ต้องกังวลไป เป็นฝีมือของ facebook เอง ผู้ใช้งานมากกว่า 90 ล้านคนจะถูกบังคับให้ออกจากระบบ เพื่อป้องกันการรั่วไฟลของข้อมูลผู้ใช้งานที่มาจากช่องโหว่ล่าสุด

โดยเมื่อวันศุกร์ที่ผ่านมา แฮกเกอร์ ใช้ประโยชน์จากช่องโหว่บนเว็บไซต์ 3 ช่องโหว่ในการเข้าถึงข้อมูล facebook account ของผู้ใช้งานกว่า 50 ล้านราย Guy Rosen ได้ทำการเผยแพร่ข้อมูลเหตุการณ์ในครั้งนี้ ซึ่งประกอบด้วย 10 ข้อมสำคัญ ดังต่อไปนี้
1. Facebook ตรวจพบการรั่วไหลของข้อมูลหลังจากพบการเข้าถึงที่เพิ่มขึ้นมากผิดปกติ
2. แฮกเกอร์ใช้ประโยชน์จากช่องโหว่ทั้งหมด 3 ช่องโหว่ด้วยกัน ได้แก่ ในส่วนของการอัปโหลดไฟล์วีดีโอ happy birthday ในส่วนของ view as , การสร้าง token ที่ไม่ถูกต้องเมื่อทำการอัปโหลดวีดีโอผ่าน facebook แอพพลิเคชั่นบน mobile และการสร้าง token ที่มีสิทธิ์เป็นเจ้าของบัญชีให้กับ viewer ที่ดูผ่าน view as
3. แฮกเกอร์ ได้ token ที่สามารถใช้เข้าดูข้อมูลของผู้ใช้งาน facebook ไปกว่า 50 ล้านราย
4. แฮกเกอร์ ไม่ได้รหัสผ่านของผู้ใช้งานที่ข้อมูลรั่วไหลแต่อย่างใด หากแต่สามารถเข้าถึงข้อมูลต่างๆ ได้จาก access token ที่ได้ ผ่านทาง api ที่ app ต่างๆมีการใช้งานอยู่
5. แฮกเกอร์สามารถดาวโหลดข้อมูลของผู้ใช้งานได้ผ่าน API facebook
6. Application อื่นๆ ที่สามารถทำการ login ด้วย facebook มีความเสี่ยงที่จะถูกเข้าถึงได้ เช่นเดียวกับ facebook
7. Facebook ทำการ reset access token ของผู้ใช้งานจำนวนกว่า 90 ล้านบัญชี
8. ผู้ใช้งานควรตรวจสอบการเข้าใช้งาน facebook จากอุปกรณ์ต่างๆ ว่ามีการเข้าถึงบัญชีบนอุปกรณ์ต่างๆ จากตำแหน่งที่ผิดปกติหรือไม่
9. จากเหตุการณ์นี้ อาจจะไม่เกี่ยวข้องกับแฮกเกอร์ชาวไต้หวัน Chang Chi-Yuang ที่เคยแจ้งว่าพบช่องโหว่ zero-day บน facebook ก่อนหน้านี้
10. Facebook กำลังถูกดำเนินคดี กับเหตุการณ์ข้อมูลรั่วไหลครั้งใหญ่นี้

เหตุการณ์ในครั้งนี้ทาง facebook ได้ทำการ reset การ login ให้กับผู้ใช้งานหลายสิบล้านบัญชี และให้คำแนะนำแก่ผู้ใช้งานที่ได้รับผลกระทบ ให้ยกเลิกการเชื่อมต่อไปยัง application ที่สามารถทำการ login จาก facebook ได้ ในขณะนี้ช่องโหว่ที่พบได้รับการแก้ไขแล้ว และ facebook กำลังร่วมมือกับ FBI ตรวจสอบสิ่งที่เกิดขึ้นโดยเร็วที่สุด

ที่มา : The Hacker News

iPhone Apps With Camera Permissions Can Secretly Take Your Photos Without You Noticing

พบความสามารถในการเข้าถึงข้อมูลส่วนบุคคลที่ร้ายแรงบน iPhone ซึ่งทำให้ผู้ไม่หวังดีสามารถเข้าโหมดถ่ายภาพและบันทึกวิดีโอโดยที่ผู้ใช้งานไม่รู้ตัว ช่องโหว่นี้ถูกค้นพบโดยนักพัฒนาชาวออสเตรียและวิศวกรของ Google Felix Krause ซึ่งระบุรายละเอียดลงในโพสต์บล็อกของเขา
การเข้าถึงกล้องบนแอพพลิเคชั่นมากมายเช่น Facebook, WhatsApp และ Snapchat ต้องมีการขอสิทธิ์เพื่อเข้าถึงกล้องของผู้ใช้ที่จะถ่ายภาพภายในแอพพลิเคชั่น แม้ส่วนนี้จะถูกมองว่าเป็นความสามารถของ Application แต่ก็สามารถถูกใช้เป็นช่องทางในการเข้าถึงความเป็นส่วนตัวของผู้ใช้จากผู้พัฒนาแอพพลิเคชั่นที่ไม่หวังดีด้วยเช่นกัน ส่งผลให้สามารถถ่ายภาพและบันทึกกิจกรรมของผู้ใช้ แล้วทำการอัพโหลดได้ทันที รวมทั้งสามารถเรียกใช้การตรวจจับใบหน้าเรียลไทม์(Face Detection) เพื่ออ่านลักษณะบนใบหน้าโดยไม่มีการแจ้งเตือนใดๆ โดยทั้งหมดนี้ส่งผลให้เกิดความไม่ปลอดภัยในเรื่องของความเป็นส่วนตัวสำหรับผู้ใช้งานได้โดยตรง
ทั้งนี้ Krause ก็ได้ทำการแจ้งไปยัง Apple เพื่อให้แนะนำวิธีที่สามารถกำหนดให้มีการใช้กล้องเพียงชั่วคราวภายในเวลาที่กำหนดเท่านั้น หรืออาจให้มีการแจ้งบนหน้าจอ หรือมีแสงไฟขึ้นเมื่อมีการใช้กล้องเพื่อผู้ใช้จะได้ทราบ อย่างเช่นการ Record Screen ที่จะมีแถบสีแดงขึ้น เป็นต้น และที่สำคัญที่สุดคือควรติดตั้ง Application ที่มาจาก App Store เท่านั้น รวมถึงควรจะอ่าน Review เกี่ยวกับ Application หรือ Developer จากผู้ใช้งานคนอื่นก่อนที่จะติดตั้ง อย่างไรก็ตามหากผู้ใช้งานคนไหนสะดวกที่ใช้วิธีติด Sticker ในส่วนของกล้องเหมือนกับ Mark Zuckerberg(Facebook CEO) และ James Comey(ex-FBI Director) ก็ถือเป็นทางเลือกหนึ่งในการป้องกันได้เช่นเดียวกัน

ที่มา : Thehackernews