Facebookin tietomurto ei vaadi loppukäyttäjältä toimenpiteitä

Viime viikolla paljastunut Facebookin merkittävä tietomurto on Facebookin mukaan korjattu. Yhtiö kertoo ongelman koskeneen noin 50 miljoonaa käyttäjää, mutta on varmuuden vuoksi sulkenut myös 40 miljoonan muun käyttäjän istuntoa. Koska haavoittuvuus koski niin merkittävää käyttäjämäärää, joukossa on todennäköisesti myös suomalaisia käyttäjiä. Tällä hetkellä tavalliselta käyttäjältä ei vaadita toimenpiteitä. Salasanoja ei ole vuotanut ulkopuolisille, joten niitä ei tarvitse tämän takia vaihtaa.

Sosiaalisen median yhtiö Facebook ilmoitti tiistaina 25.9. havainneensa vakavan haavoittuvuuden palveluissaan. Haavoittuvuus koskee view as -toimintoa, jonka avulla käyttäjät voivat katsoa, miltä oma profiili näyttää ulkopuolisille käyttäjille. Toiminnallisuuden avulla käyttäjä pystyy tarkistamaan, ovatko esimerkiksi yksityisyysasetukset halutulla tasolla. Tämä ominaisuus on nyt poistettu käytöstä, ja Facebook ilmoitti tutkivansa asiaa ennen sen ottamista uudelleen käyttöön.

Haavoittuvuuden avulla hyökkääjä pystyi varastamaan Facebookin käyttämät access tokenit eli pääsytunnisteet, millä käyttäjä pysyy kirjautuneena palveluun eri käyttökertojen välillä eikä joudu kirjautumaan aina uudestaan tililleen. Pääsytunnisteen varastamalla hyökkääjä voi siis esiintyä käyttäjänä pystyen näkemään, kirjoittamaan ja kommentoimaan kaikkia niitä profiileja ja keskusteluja, kuin mitä käyttäjä itsekin pystyisi.

Pääsytunnisteen avulla on voinut perustaa käyttäjäprofiileja palveluihin, jotka vaativat Facebook-profiilin palveluun liittymiseen (esimerkiksi Tinder), tai kirjautumaan käyttäjänä erilaisiin palveluihin, kuten Opintopolkuun.

Tietomurron laajuus on merkittävä

Facebook ilmoitti haavoittuvuuden koskevan noin 50 miljoonaa käyttäjää. Näiden käyttäjien pääsytunnisteet on nollattu, minkä lisäksi nollaus koskee 40 miljoonaa käyttäjää varotoimenpiteenä. Tavalliselle käyttäjälle tämä näkyy pakotettuna uloskirjautumisena, eli esimerkiksi mobiilisovellukseen on täytynyt kirjautua uudelleen.

Koska käyttäjiä on niin suuri määrä, on todennäköistä että haavoittuvuus koskee myös suomalaisia. Facebook on ilmoittanut kaikille niille käyttäjille, joita haavoittuvuus on koskenut uudelleenkirjautumisen yhteydessä. Viestintäviraston Kyberturvallisuuskeskuksen tietojen mukaan Facebook on korjannut haavoittuvuuden.

Facebook ei ole vielä kertonut mitä tietomurto käytännössä tarkoittaa eli onko kaikkien tietoja katseltu tai ladattu palvelun ulkopuolelle. On mahdollista, että esimerkiksi 50 miljoonan käyttäjän osalta on viety pääsytunniste mutta ei ole varmuutta onko kaikkien tietoja yritetty varastaa.

Miten voi suojautua?

Yksittäiselle käyttäjälle tietomurrosta ei toistaiseksi aiheudu toimenpiteitä. Facebook on kirjannut ne 50 miljoonaa käyttäjää ulos nollaten mahdollisesti hyväksikäytetyn pääsytunnisteen, ja tehnyt saman varotoimenpiteenä myös 40 miljoonalle muulle käyttäjälle. Haavoittuvuus ei koske esimerkiksi salasanoja, eli käyttäjien ei tarvitse tämän haavoittuvuuden takia vaihtaa salasanaansa.

Viestintäviraston Kyberturvallisuuskeskus kuitenkin kehottaa käyttäjiä miettimään millaisiin ulkoisiin palveluihin hyödyntää Facebookin tarjoamaa tunnistautumispalvelua, tai mitä tietoa niihin luovuttaa. Vastaavia haavoittuvuuksia voi aina löytyä.

Facebook kertoi tiedottavansa tutkinnan etenemisestä omilla verkkosivuillaan. Kyberturvallisuuskeskus suosittelee seuraamaan tapahtuman etenemistä Facebookin omasta tiedotteesta, jota päivitetään. Tiedotteessa muun muassa kuvataan, miten haavoittuvuutta on voitu hyödyntää.

Lisätietoa:

- Facebookin tiedote (28.9.2018)

- Wired: The Facebook security meltdown exposes way more sites than Facebook (28.9.2018)

- Kaspersky: What do you need to do to the recent Facebook security breach? (28.9.2018)

Päivityshistoria

Asiasanat: Internet , Tietoturva , CERT , Eväste , Identiteettivarkaus , Kybersää , Kyberturvallisuus , NCSC-FI , Yksityisyydensuoja , Tietoturva nyt!

LinkedIn Print

Yhteystiedot

logo

Viestintävirasto

Kyberturvallisuuskeskus

PL 313, 00561 Helsinki


Mediayhteydenotot puhelimitse 0295 390 248