Un bug Facebook signifiait que n'importe qui pouvait contourner 2FA

RÉSUMÉ ANALYTIQUE:

Un bogue dans un nouveau système de point de terminaison développé par Meta aurait pu permettre à un pirate de désactiver l'authentification à deux facteurs d'un compte. En termes plus simples, un pirate informatique aurait pu désactiver l'authentification à deux facteurs votre Compte Facebook à tout moment avant la mi-septembre 2022. Un pirate informatique avait juste besoin d'un numéro de téléphone pour y arriver.

Résultats Facebook

L'année dernière, un chercheur en sécurité a observé que Meta n'avait pas défini de limites de tentatives de connexion suite à la saisie par un utilisateur d'un code à deux facteurs utilisé pour se connecter au nouveau Meta Accounts Center, conçu pour aider les utilisateurs à connecter tous leurs comptes Meta.

Un attaquant en possession du numéro de téléphone d'une victime pourrait visiter le Centre des méta-comptes, saisir le numéro de téléphone de la victime, lier le numéro à son propre compte Facebook, puis forcer brutalement le code du message texte à deux facteurs. Cette dernière était l'étape clé car il n'y avait pas de limite supérieure au nombre de tentatives de saisie de code texte à deux facteurs qu'une personne pouvait effectuer.

Une fois qu'un attaquant a réussi à forcer brutalement son accès au compte, après avoir déchiffré le code d'authentification, le numéro de téléphone de la victime pourrait être lié au propre compte Facebook de l'attaquant. La plateforme Méta finissait alors par envoyer un message à la victime, indiquant que son authentification à deux facteurs était désactivée et que le compte avait été lié à un nouveau profil.

"Fondamentalement, l'impact le plus important ici a été de révoquer le 2FA basé sur SMS de quiconque connaissant simplement le numéro de téléphone”, a déclaré le chercheur en sécurité qui a identifié la faille, Gtm Plus.

Reprise de compte Facebook

L'ensemble du processus susmentionné signifiait que l'authentification à deux facteurs n'était plus activée pour un compte donné. À ce stade, un cyber-attaquant pourrait tenter de s'emparer du compte simplement en hameçonnant le mot de passe.

Le bug a été signalé

Mänôz a signalé ce bogue à Meta à la mi-septembre. Meta a corrigé le bug en quelques jours et Mänôz a reçu 27 200 $pour ses découvertes.

Un porte-parole de Meta a déclaré qu'au moment du bogue, le système de connexion n'avait pas été correctement mis à l'échelle – ils en étaient encore au stade d'un petit test public.

Une enquête ultérieure a montré qu'il n'y avait aucune preuve d'exploitation à l'état sauvage. Meta n'a pas constaté de pic d'utilisation de la fonctionnalité affectée, ce qui aurait signalé des abus cybercriminels.

Pour plus d'informations sur le cyberespace et les médias sociaux, veuillez consulter CyberTalk.org couverture passée de.

Si votre organisation a besoin de renforcer sa stratégie de sécurité, assurez-vous d'assister au prochain événement CPX 360 de Check Point. Inscrivez-vous ici.

Enfin, pour recevoir chaque semaine dans votre boîte de réception des actualités, des meilleures pratiques et des ressources de pointe en matière de cybersécurité, veuillez vous inscrire au CyberTalk.org bulletin d'information. 

Post Un bug Facebook signifiait que n'importe qui pouvait contourner 2FA apparu en premier sur CyberTalk.