Новая уязвимость в Facebook позволяет составлять списки мобильных номеров

В функции поиска Facebook обнаружена потенциальная брешь, позволяющая формировать пофамильные списки пользователей с указанными в социальной сети номерами мобильных телефонов, сообщили в компании eScan.

Это становится возможным, поскольку мобильная версия Facebook не ограничивает количество операций поиска, которые можно выполнить в единицу времени, и требует обязательного ввода телефонного номера для включения некоторых функций социальной сети. При этом по умолчанию в настройках приватности «Кто может найти меня по номеру телефона» указано «Все». То есть, даже когда номер не виден в профиле, пользователя можно найти, пишет cybersecurity.ru.

Информация о потенциальной бреши безопасности в Facebook еще раз напоминает о поднятой экспертами серьезной проблеме, связанной с безопасностью персональных данных в социальных сетях. Сегодня, пользуясь только той информацией, которую добровольно публикуют сами пользователи, можно достаточно быстро узнать множество данных о конкретном человеке, которые потом могут быть использованы и для неблаговидных целей.

«Опасность данной конкретной бреши не столь высока. Далеко не все пользователи социальной сети публикуют свои телефонные номера. Но и в данном случае потенциально собранные данные могут быть использованы, например, для рассылки телефонного спама, – подчеркивают эксперты eScan в России и странах СНГ. – В любом случае, приходится признать, что безопасность популярных социальных сетей находится на недостаточно высоком уровне, разработчикам систем безопасности следует многое доработать и улучшить для более качественной защиты конфиденциальных данных пользователей».

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Новый метод позволяет коду JavaScript шпионить за серфингом юзеров

Специалисты в области информационной безопасности открыли новую технику, которая позволяет провести атаку по сторонним каналам. Благодаря этому методу вредоносный код JavaScript, запущенный в одной из вкладок браузера, может перехватывать происходящее в других вкладках. Следовательно, открывается отличный вектор для шпионажа за пользователем.

Используя этот метод, злоумышленник может отследить, какие веб-сайты посещает тот или иной пользователь. Такая информация пришлась бы очень кстати для различных маркетинговых схем и рекламных кампаний.

О методе сообщили специалисты Университета имени Давида Бен-Гуриона в Негеве, Аделаидского университета в Австралии и Принстонского университета в Америке. Сама техника подробно описана в исследовании «Robust Website Fingerprinting Through the Cache Occupancy Channel» (PDF).

Эксперты использовали JavaScript для получения данных и идентификации посетителей сайтов.

«Продемонстрированная нами атака может скомпрометировать личные данные пользователей. Используя информацию о посещенных пользователем сайтах, злоумышленники могут определить сексуальную ориентацию юзера, религиозные предпочтения, политические взгляды, состояние здоровья и тому подобное», — объясняет один из ученых, обнаруживших вектор атаки.

Несмотря на то, что эта атака не настолько опасна, как, например, возможность удаленного выполнения кода, эксперты полагают, что ее можно будет использовать для компрометации ключей шифрования или уязвимых программ, установленных в системе.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru