В коде Facebook выявлена уязвимость, вскрывающая данные пользователей

В коде Facebook выявлена уязвимость, вскрывающая данные пользователей

Издание Hacker News сообщает, что программное обеспечение социальной сети Facebook подвержено уязвимости, в результате которой получить доступ к некоторым пользовательским аккаунтам можно без ввода пароля. Сообщается, что при помощи специально сгенерированного запроса можно даже через поисковые результаты в Google вскрыть пользовательские аккаунты. По оценкам специалистов, под ударом находятся около 1,32 млн учетных записей.

Также данная атака позволяет вскрывать пользовательские email-адреса, указанные в базе Facebook. Как следует из публикации, для того, чтобы получать доступ к пользовательским аккаунтам, необходимо завести хотя бы один аккаунт с действующим паролем и зайти в систему под ним. После этого, при помощи специально сконструированного запроса можно будет открывать аккаунты других пользователей. Авторы атаки говорят, что данному методу атаки подвержены далеко не все аккаунты, пишет cybersecurity.ru.

По словам специалистов, проблема в Facebook кроется в парсинге поисковых запросов со стороны серверного программного обеспечения соцсети. Популяризируется данная атака при помощи размещения специализированных гиперссылок на стенах пользователей, данные ссылки зачастую попадают в поисковые индексы. Соответственно, интернет-поисковики, переходя по ссылкам, индексируют закрытые пользовательские данные.

Вышеописанным способом в открытом доступе оказались уже более миллиона пользовательских аккаунтов, причем многие из аккаунтов принадлежат пользователям из Китая и России.

В заявлении Facebook говорится, что технические службы соцсети ведут работы по устранению уязвимости.

Сегодня же Facebook под давлением ирландского регулятора внесла ряд изменений, касающихся приватности пользователей. В Facebook изначально предполагали сделать эти изменения только для Ирландии, но позже было решено реализовать их глобально (они не работают только в США и Канаде). Новая система безопасности позволят более детально настраивать внешний доступ к данным пользователей, в частности в Хронике, а также разграничивать, как именно аккаунт работает с остальным интернетом и веб-приложениями.  

По ту сторону ChatGPT: сотни подрядчиков читают реальные переписки

OpenAI привлекла сотни сторонних специалистов для ручного анализа диалогов пользователей с ChatGPT. Подрядчики видят реальные запросы и ответы, в которых могут встречаться личные, медицинские и другие конфиденциальные сведения.

По данным расследования 404 Media, работа проводится в рамках проекта Lily. Рецензенты кратко описывают запрос пользователя, сравнивают четыре варианта ответа модели и выставляют им оценки от одного до семи.

Отдельно они отмечают чрезмерную угодливость чат-бота, попытки очеловечить себя, неуместные эмодзи и другие особенности поведения.

Имена владельцев аккаунтов в интерфейсе скрываются, а переписки предварительно обрабатывает Privacy Filter. Однако OpenAI признала изданию, что система не всегда удаляет все персональные данные.

По утверждению журналистов, проверяющим также может показываться блок пользовательских воспоминаний с контекстом предыдущих разговоров и примерным местоположением.

Подрядчиков нанимают через внешние компании, включая Crossing Hurdles и Mercor. Некоторые специалисты получают более $50 в час. Подобный подход использует не только OpenAI: Anthropic также подтвердила 404 Media, что люди участвуют в оценке диалогов с Claude.

OpenAI официально указывает, что разговоры пользователей персональных тарифов могут применяться для улучшения моделей. Запретить использование новых чатов можно в разделе Settings → Data Controls, отключив параметр Improve the model for everyone.

Настройка действует на весь аккаунт, но не отменяет обработку данных, использованных ранее. Временные чаты не идут на обучение, хотя могут проверяться для выявления неправомерных действий.

RSS: Новости на портале Anti-Malware.ru