TechCrunch: хакер из Непала взломал двухфакторную авторизацию в Facebook
Исследователь информационной безопасности из Непала Джитм Маноз (Gtm Manoz) обнаружил в системе двухфакторной авторизации Meta уязвимость, которая позволяет обходить этот важный рубеж защиты. Об этом сообщает издание TechCrunch. В экосистеме Meta есть сервис Meta Accounts Center, который позволяет объединять аккаунты в Facebook, Instagram и других проектах корпорации. В нем можно настроить не только общие параметры входа, но и другие функции вроде кросс-сервисной публикации контента. Как и в других сервисах Meta, в Meta Accounts Center есть двухфакторная авторизации. Однако она отличается тем, что между попытками ввода шестизначного кода подтверждения из SMS или e-mail в ней нет таймаута. Таким образом, зная логин и пароль жертвы, а также ее номер телефона, злоумышленник может перейти на страницу Meta Accounts Center, ввести чужие данные и заняться брутфорсом (подбором нужной комбинации методом перебора, – прим. ред.) проверочного кода с помощью специального бота. Подобрав нужный код, хакер может получить доступ ко всем сервисам жертвы в экосистеме Meta. Джитм Маноз обнаружил ошибку и сообщил о ней еще летом 2022 года. Корпорация исправила проблему в октябре. В 2023 году Маноз и IT-гигант выпустили совместный отчет, в котором раскрыли подробности о механизмах уязвимости. Корпорация выплатила исследователю вознаграждение в размере $27,2 тыс. (примерно 1,9 млн руб. по курсу на 31 января 2023 года). Ранее "Газета.Ru" писала о том, что Facebook обвинили в тайной разрядке смартфонов своих пользователей.