Em setembro de 2018, uma falha no recurso "Ver como" do Facebook afetou quase 50 milhões de contas. Em outubro, o Google anunciou o fim do Google+ para consumidores após uma falha que expôs dados de cerca de 500 mil perfis.
Duas falhas em grandes plataformas marcaram o segundo semestre de 2018. Em 28 de setembro, o Facebook admitiu que uma vulnerabilidade no recurso "Ver como" permitiu a atacantes obter tokens de acesso de quase 50 milhões de contas. Em 8 de outubro, o Google anunciou o encerramento gradual do Google+ para consumidores depois de revelar que uma falha expôs dados de 496.951 perfis. Os dois casos mostraram que integrações e recursos aparentemente simples podem abrir caminho para incidentes em grande escala.
O que aconteceu com o Facebook?
Segundo o portal WeLiveSecurity, da ESET, o Facebook identificou a falha em 25 de setembro de 2018. O problema estava no recurso "Ver como", que permite ao usuário ver o próprio perfil como outra pessoa o veria. Uma vulnerabilidade no código desse recurso permitiu que atacantes obtivessem tokens de acesso, as credenciais que mantêm o usuário conectado sem precisar digitar a senha novamente. Com esses tokens, seria possível assumir contas.
A empresa corrigiu a falha, notificou as autoridades e redefiniu os tokens das cerca de 50 milhões de contas afetadas. Na época, não estava confirmado se as contas tinham sido de fato usadas, nem quem eram os atacantes.
E o que aconteceu com o Google+?
De acordo com o Olhar Digital, a falha do Google+ existia desde 2015 e foi detectada e corrigida em março de 2018. Quando um usuário autorizava um aplicativo pelo login do Google, o app recebia também informações de contatos da pessoa, e não apenas dados públicos do perfil.
O Google estimou em 496.951 o número de pessoas com dados expostos, como nome completo, e-mail, data de nascimento, gênero, foto, cidades onde morou, ocupação e estado civil. A empresa disse não ter encontrado evidência de uso indevido. Um memorando interno, revelado pelo Wall Street Journal, indicava receio de que divulgar a falha colocaria o Google sob os holofotes ao lado do Facebook, que vivia o caso Cambridge Analytica.
O Google anunciou que o Google+ seria encerrado para consumidores ao longo de dez meses, citando também baixa adesão: 90% das sessões duravam cinco segundos ou menos.
Como os dois casos se comparam?
| Aspecto | Facebook ("Ver como") | Google+ |
|---|---|---|
| Anúncio | 28 de setembro de 2018 | 8 de outubro de 2018 |
| Origem | Vulnerabilidade em recurso da plataforma | Falha em API usada por aplicativos autorizados |
| Contas afetadas | Quase 50 milhões | 496.951 perfis |
| O que foi exposto | Tokens de acesso às contas | Dados de perfil, como nome, e-mail e ocupação |
| Resposta | Correção e redefinição de tokens | Correção em março e encerramento gradual do serviço |
Que lições ficaram para empresas que desenvolvem software?
Os dois casos envolveram mecanismos de autenticação e integração, temas presentes em praticamente qualquer sistema web. Algumas práticas que eles reforçam:
- revisar periodicamente quais dados cada API devolve e para quem;
- limitar permissões de aplicativos de terceiros ao mínimo necessário;
- tratar tokens de sessão como credenciais sensíveis, com expiração e revogação;
- ter um processo de comunicação de incidentes definido antes de precisar dele.
O caso do Google+ também chamou atenção para o tempo entre a descoberta e a divulgação de uma falha: o problema foi corrigido em março e só se tornou público em outubro de 2018, depois da reportagem do Wall Street Journal.
O que isso significa hoje?
Ao contratar o desenvolvimento de um sistema com login social, APIs abertas ou integrações com parceiros, vale perguntar ao fornecedor como ele testa permissões e sessões, se faz revisão de segurança antes de cada entrega e como registraria e comunicaria um incidente. Na Citeo, é possível comparar empresas de cibersegurança que oferecem testes desse tipo.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quantas contas foram afetadas pela falha do Facebook em 2018?
Quase 50 milhões de contas, segundo o Facebook. A falha estava no recurso "Ver como" e permitia obter tokens de acesso.
Por que o Google+ foi encerrado?
O Google anunciou o encerramento para consumidores em outubro de 2018, após revelar uma falha que expôs dados de cerca de 500 mil perfis e citando também a baixa adesão ao serviço.
O que é um token de acesso?
É a credencial que mantém o usuário conectado a um serviço sem que ele precise digitar a senha a cada acesso. Quem obtém um token válido pode agir como se fosse o dono da conta até que ele seja revogado.