Stfw.RuВице-президент по менеджменту компании Quotium Ирен Абезгауз (Irene Abezgauz) обнаружила уязвимость в Facebook, при помощи которой злоумышленники могут заставить пользователей принять их запрос на добавление в друзья и использовать это для получения доступа к критической информации.
Абезгауз отметила, что, несмотря на возможность скрытия от посторонних списка своих друзей в Facebook, любой желающий, у которого есть учетная запись в Facebook, направивший пользователю запрос на добавление в друзья, может просмотреть список благодаря функции «Вы можете их знать».
Эта функция предоставляет возможность просмотреть всех возможных знакомых пользователей (опция «Показать всех»). Таким образом, неважно, принял ли пользователь запрос на добавление в друзья, или отклонил – злоумышленники смогут собрать достаточно информации о списке его друзей в соцсети.
При помощи социальной инженерии злоумышленники ищут способ узнать конфиденциальную информацию о пользователях, которые не одобрили запрос. Для этого они узнают список его друзей (даже если он скрыт) и добавляют их в друзья. После этого, создав свой собственный список друзей, знакомых жертве, злоумышленники могут попытаться втереться ей в доверие.
Это особенно опасно по причине того, что пользователь может стать объектом преследования. Даже если жертва удалила свою учетную запись в Facebook и создала новую под вымышленным именем, она может полностью выдать себя преследователю, добавив в друзья несколько человек из своего окружения. Несмотря на то, что друзья преследуемого скроют свои списки друзей, при помощи функции «Вы можете их знать» злоумышленник все равно способен вычислить жертву.
По словам эксперта, это служит хорошим примером ненадежности настроек приватности в соцсети.
