04APR
Dataset met telefoonnummers bijna 533 miljoen Facebook-users verschijnt online
Een dataset met persoonlijke gegevens van zo'n 533 miljoen Facebookgebruikers is gepost op een malafide hackersforum. Daaronder vallen naar schatting 5,4 miljoen Nederlanders. Het gaat voornamelijk om telefoonnummers.
Security-onderzoeker Alon Gal meldt dat het gaat om telefoonnummers, Facebook-id's, volledige namen, locaties, voorgaande locaties, geboortedata, geslacht, relatiestatus, bio-teksten, datum van accountcreatie, werkgever en e-mailadressen. Alleen die laatste komt veel minder voor dan de rest: 2,5 miljoen keer. De hoeveelheid Nederlanders is een inschatting van RTL-techjournalist Daniël Verlaan, die de dataset heeft ingezien. De getroffen gebruikers zijn verspreid over 106 landen en volgens Bleeping Computer bevatten 'bijna alle' entries een telefoonnummer.
Een Facebook-vertegenwoordiger heeft op Twitter gereageerd op de ontwikkeling, maar gaat niet diep op de zaak in. "Dit is oude data die in 2019 gemeld werd. We hebben het achterliggende probleem in augustus van 2019 gevonden en opgelost".
Alon Gal trok in januari al aan de bel over de data. Die zou destijds via een Telegram-bot aangeboden worden aan geïnteresseerden. Toen moesten kwaadwillenden een bedrag betalen per gebruiker, maar nu is op hetzelfde forum de gehele dataset gepost en gratis te downloaden. Hij stelt dat het gaat om een kwetsbaarheid die 'vroeg in 2020' uitgebuit werd, maar dat strookt niet met de uitspraken van de Facebook-vertegenwoordiger. Een andere reageerder corrigeert hem ook al en stelt dat de kwetsbaarheid 'vroeg in 2019' verholpen was.
Tegen BleepingComputer zegt Gal dat de kwetsbaarheid vermoedelijk in de 'vriend toevoegen'-functie zat en dat die toegang gaf tot de telefoonnummers van vreemden. De rest van de data is mogelijk gewoon gescraped van openbare profielen.
De database is aan Have I Been Pwned toegevoegd, maar omdat die werkt op basis van e-mailadressen, noteert de site 2,5 miljoen accounts in plaats van 533 miljoen.
