Facebook-quiz NameTests maakte het mogelijk om via een kwaadaardige site informatie te verzamelen over ingelogde Facebook gebruikers. Dat ontdekte de ethische hacker Inti De Ceukelaire, die daardoor in aanmerking kwam voor een bug bounty.

 

//medium.com/@intideceukelaire/this-popular-facebook-app-publicly-exposed-your-data-for-years-12483418eff8" rel="external noopener" target="_blank" style="color: rgb(1, 74, 147); text-decoration: underline;">De Ceukelaire onderzocht verschillende apps op het sociale netwerk vanwege een nieuw bug bounty-programma, dat Facebook in het leven riep na het Cambridge Analytica-schandaal. Bij een van de apps, NameTest van het Duitse Social Sweethearts, ontdekte hij dat deze zijn persoonlijke informatie van een externe NameTests-site haalde.

Vervolgens kwam hij erachter dat het mogelijk was om via een kwaadaardige site eveneens informatie over ingelogde Facebook-gebruikers te verzamelen door gebruik te maken van die NameTests-endpoint. De opgevraagde gegevens bevatten bovendien een toegangstoken dat, afhankelijk van de verleende permissies, toegang gaf tot geplaatste berichten, vrienden en foto's van gebruikers.

nametest

De gegevens die een kwaadwillende op deze manier kon inzien, verschilden volgens De Ceukelaire per app. Zo ging het bijvoorbeeld om Facebook-id, voornaam, achternaam, taal, geslacht, geboortedatum, profielfoto, gebruikte apparaten, vrienden, foto's en posts. Volgens NameTests zelf zijn er geen aanwijzingen dat kwaadwillenden misbruik hebben gemaakt van het lek.

Facebook liet aan De Ceukelaire weten dat de NameTests-app ongeveer 120 miljoen maandelijks actieve gebruikers heeft. De mogelijkheid tot het opvragen van gegevens bestond volgens NameTests sinds het begin van vorig jaar. Volgens De Ceukelaire was het niet mogelijk om bij de app uit te loggen en was dit alleen mogelijk door handmatig de corresponderende cookies te verwijderen. Dus ook nadat de app was verwijderd, was het alsnog mogelijk om gegevens te achterhalen. Facebook heeft een beloning van vierduizend dollar toegekend. Nadat De Ceikelaire had gezegd dat hij het bedrag aan een goed doel zou schenken, verdubbelde het bedrijf dat bedrag.