De Turkse privacytoezichthouder KVKK heeft Facebook een boete van omgerekend 256.000 euro opgelegd wegens een datalek dat vorig jaar september aan het licht kwam en waarbij de gegevens van ruim 280.000 Turkse Facebookgebruikers door aanvallers werden gestolen.

De aanvallers maakten misbruik van een kwetsbaarheid in de "weergeven als" feature, waarmee gebruikers kunnen zien hoe hun profiel er voor iemand anders uitziet. Via het beveiligingslek, dat door drie verschillende bugs werd veroorzaakt, wisten de aanvallers van 30 miljoen gebruikers de zogeheten toegangstokens te stelen, waarmee ze de accounts van gebruikers hadden kunnen overnemen. Via een toegangstoken blijven gebruikers op Facebook ingelogd, zonder dat ze elke keer bij het gebruik van de app opnieuw moeten inloggen.

Van 15 miljoen gebruikers werden de naam en contactgegevens, te weten telefoonnummer, e-mail of beide, door de aanvallers geraadpleegd. Van 14 miljoen mensen ging het naast e-mail en contactgegevens ook om andere informatie, zoals gebruikersnaam, geslacht, taal, relatiestatus, religie, stad, geboortedatum, gebruikte apparaten om op Facebook in te loggen, opleiding, werk, de laatste tien plekken waarvandaan werd ingecheckt, websites, gevolgde mensen of pagina's en de 15 meest recente zoekopdrachten. Bij de resterende 1 miljoen gebruikers werden geen gegevens geraadpleegd.

Volgens de toezichthouder heeft Facebook administratieve en technische maatregelen om het datalek te voorkomen niet genomen. Omdat de sociale netwerksite de verantwoordelijkheden voor het beschermen van de gebruikersgegevens niet erkende kreeg Facebook een boete van omgerekend 184.000 euro. De resterende 72.000 euro werd opgelegd wegens het niet informeren van de toezichthouder over het datalek, waardoor de totale boete op 256.000 euro uitkomt.