FACEBOOK TỪNG CÓ CƠ HỘI, NHƯNG ĐÃ CHỌN CÁCH TỆ NHẤT

Trước khi vụ lộ dữ liệu của hơn 500 triệu người dùng xảy ra, nhiều nhà nghiên cứu bảo mật đã phát hiện và cảnh báo lỗ hổng bảo mật của Facebook.​

Trong gần một tuần, thông tin cá nhân của hơn 500 triệu tài khoản Facebook bị lan truyền công khai trên Internet. Phải mất nhiều ngày sau, mạng xã hội lớn nhất thế giới mới thừa nhận sai lầm của mình, đồng thời thông báo đã khắc phục lỗ hổng bảo mật từ năm 2019.

Thế nhưng, theo các nhà nghiên cứu, nền tảng này đã biết về những lỗ hổng bảo mật từ nhiều năm trước và đáng lẽ cần nỗ lực hơn để ngăn chặn nó.
Lỗ hổng đến từ chính tính năng

Nhập liên hệ là một tính năng giúp người dùng tìm kiếm bạn bè thông qua địa chỉ liên lạc (email, số điện thoại). Không riêng gì Facebook, nhiều mạng xã hội và ứng dụng liên lạc cũng tích hợp tính năng này. Theo Wired, đây là cách các nền tảng nâng cao tính xã hội, lôi kéo thêm người dùng.
“Tôi tin chắc rằng các công ty khác đang lo lắng đến đổ mồ hôi”, Inti De Ceukelaire, nhà nghiên cứu bảo mật người Bỉ. Vào năm 2017, Ceukelaire đã báo cáo một lỗ hổng trong tính năng nhập liên hệ của Facebook.

Facebook đã có cơ hội khắc phục sớm lỗ hổng bảo mật. Ảnh: Ubergizmo.​

Năm 2012, mạng xã hội này từng làm lộ số điện thoại và email người dùng thông qua công cụ “Tải xuống thông tin của bạn”. Sau đó, một nhà nghiên cứu đã phản ánh tình trạng này cho Facebook vào năm 2013. Vào năm 2018, Văn phòng Cao ủy Quyền riêng tư Canada và Văn phòng Cao ủy Bảo vệ Dữ liệu Ireland chính thức tham gia điều tra vụ việc.

"Trước khi vụ lộ dữ liệu xảy ra, chúng tôi nhận thấy Facebook không có các biện pháp bảo vệ thông tin cá nhân của người dùng và đối tượng không phải người dùng", cuộc điều tra tuyên bố.
Ceukelaire và các nhà nghiên cứu khác đã cảnh báo Facebook về những vấn đề tương tự.
Đối với lỗ hổng gần đây, hacker nắm trong tay số điện thoại của người dùng đến từ hơn 100 quốc gia. Chỉ cần nhập dữ liệu này lên công cụ truy xuất thông tin, hacker có thể dễ dàng thu thập được Facebook ID cũng như các dữ liệu khác mà người dùng đăng trên trang cá nhân.
“Tôi phát hiện ra rằng việc tiết lộ số điện thoại riêng tư trên Facebook tương đối đơn giản, ngay cả khi đó là số của giới nổi tiếng hay chính trị gia. Dù kỹ thuật này chỉ phát huy tác dụng tại một quốc gia nhỏ như Bỉ, nhiều người dùng vẫn có khả năng trở thành nạn nhân của một vụ rò rỉ thông tin riêng tư”, Ceukelaire viết đầu năm 2017.
Tuy phương pháp lấy thông tin người dùng của Ceukelaire vẫn còn thủ công và hạn chế, song nó vẫn đem lại hiệu quả. Anh đã gửi các phát hiện của mình cho chương trình săn lỗi lấy tiền thưởng của Facebook. Mặc dù vậy, chia sẻ với Wired, Ceukelaire cho biết công ty nay từ chối thưởng tiền do những vấn đề anh đưa ra chưa đáp ứng đủ điều kiện.
Ceukelaire đã nêu 2 điểm quan trọng. Thứ nhất, những kẻ tấn công có thể vạch ra nhiều kế hoạch tấn công vào tính năng nhập liên hệ. Thời điểm đó, Facebook cho biết công ty có thể sửa giới hạn nhập liên hệ của người dùng, dẫu vậy Facebook vẫn từ chối coi vấn đề này là lỗ hổng bảo mật.

Thứ 2, các thiết lập kiểm soát quyền riêng tư trên Facebook có thể khiến người gặp nhiều bối rối. Mạng xã hội này cho phép người dùng ẩn số điện thoại và địa chỉ email ở chế độ xem “Chỉ tôi”. Tuy nhiên, nếu người dùng thiết lập quyền “Ai có thể tra cứu tôi” thành chế độ “Mọi người”, hacker vẫn có thể đoán được số điện thoại của bạn, từ đó tra cứu thêm nhiều thông tin khác.
Vào thời điểm Ceukelaire nghiên cứu, Facebook thậm chí không cung cấp chế độ “Chỉ tôi” trong quyền “Ai có thể tra cứu tôi”. Mãi đến tháng 5/2019, tính năng này mới được bổ sung và cập nhật.
Cho đến nay, Facebook vẫn chưa thể giải thích cơ chế tạo kho dữ liệu người dùng khổng lồ của hacker.