Bij de aanval op Facebook die in september werd ontdekt zijn de toegangstokens van 30 miljoen gebruikers gestolen, zo laat de sociale netwerksite in een update over het incident weten. Via de gestolen toegangstokens konden de aanvallers op de Facebookaccounts van getroffen gebruikers inloggen. De aanval, die door een piek in het dataverkeer werd ontdekt, was mogelijk via drie kwetsbaarheden in de "weergeven als" feature.

Facebook heeft nu meer details over de aanval gegeven. De aanvallers hadden de beschikking over een aantal accounts die weer verbonden waren met Facebookvrienden. Via de toegangstokens van deze gebruikers konden ze de tokens van hun Facebookvrienden stelen en van de vrienden van deze Facebookvrienden, enzovoorts. Op deze manier werden de tokens van 400.000 gebruikers bemachtigd. Een deel van deze gebruikersaccounts werd vervolgens gebruikt voor het stelen van de toegangstokens van 30 miljoen gebruikers.

Van 15 miljoen gebruikers werden de naam en contactgegevens, te weten telefoonnummer, e-mail of beide, door de aanvallers geraadpleegd. Van 14 miljoen mensen ging het naast e-mail en contactgegevens ook om andere informatie, zoals gebruikersnaam, geslacht, taal, relatiestatus, religie, stad, geboortedatum, gebruikte apparaten om op Facebook in te loggen, opleiding, werk, de laatste tien plekken waarvandaan werd ingecheckt, websites, gevolgde mensen of pagina's en de 15 meest recente zoekopdrachten. Bij de resterende 1 miljoen gebruikers werden geen gegevens geraadpleegd.

De getroffen gebruikers zullen een melding van Facebook ontvangen waarin staat welke gegevens de aanvallers hebben geraadpleegd. Het onderzoek naar het incident loopt nog. Facebook sluit niet uit dat de aanvallers ook kleinschaligere aanvallen hebben uitgevoerd.