Een kritieke kwetsbaarheid in de wachtwoordresetfunctie van Facebook maakte het mogelijk voor aanvallers om accounts te kapen, soms zonder enige interactie van gebruikers. Meta heeft het probleem inmiddels verholpen, zo meldt beveiligingsonderzoeker Samip Aryal die het probleem ontdekte en op 30 januari rapporteerde.

Facebook biedt gebruikers verschillende opties voor het resetten van hun wachtwoord. Een daarvan is de optie om een wachtwoord te resetten door een zescijferige code via een Facebooknotificatie naar een andere app of apparaat te sturen dan waar de gebruiker op is ingelogd. De verstuurde inlogcode bleek zo'n twee uur actief en in deze tijdsduur verstuurde Facebook ook steeds dezelfde code. Daarnaast bleek Facebook geen beveiliging tegen bruteforce-aanvallen te hebben geïmplementeerd, waardoor het mogelijk was om via een tool zoals Burp Suite alle mogelijke combinaties te proberen en zo de wachtwoordreset uit te voeren.

Om de aanval uit te voeren zou een aanvaller in naam van een andere gebruiker eerst een wachtwoordreset moeten aanvragen. Deze gebruiker zou dan de notificatie ontvangen. Vervolgens zou de aanvaller dan de bruteforce-aanval kunnen uitvoeren om de door Facebook verstuurde inlogcode te kunnen achterhalen. Bij sommige gebruikers bleek dat de zescijferige code meteen in de notificatie van Facebook werd gegenereerd en weergegeven. Bij andere gebruikers was een extra click op de notificatie vereist voordat de code werd gegenereerd en weergegeven, waarna pas de aanval kon plaatsvinden.

Facebook biedt een beloning van 130.000 dollar voor aanvallen waarbij een account zonder enige interactie van gebruikers is over te nemen. Voor een '1-click' aanval, waarbij er nog een click van de gebruiker is vereist, wordt een bedrag van maximaal 50.000 dollar betaald. Facebook stelde dat in het geval van de aanval die Aryal demonstreerde er nog interactie van gebruikers was vereist, maar dat het klikken op een notificatie een veel kleiner obstakel is dan het klikken op een link. Welk bedrag er uiteindelijk is uitgekeerd wil Aryal niet laten weten.