روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ با توجه به نقض حریم‌خصوصی اخیر شرکت فیسبوک، اکنون از ما کاربران چه کاری ساخته است؟:

• هیچ کار.

تنها کاری که باید انجام دهید این است:

• بلافاصله اقدام به تغییر رمز عبور خود نکنید. رمزهای عبور در طی این نقض امنیتی مورد حمله قرار نگرفته‌اند، بنابراین خیالتان تخت.... آن‌ها درست به همان امنیِ زمانی هستند که آن‌ها را ساختید.
• ترس به دل راه ندهید. حتی اگر می‌بینید به دلایلی از فیسبوک Log Out شده‌اید، باز هم نیازی نیست خود را نگران کنید. این دلگرمی را خودِ شرکت فیسبوک دارد به شما می‌دهد. این شرکت از پیش احراز هویت شما را ریست کرده است تا غیر از شما هیچ کس دیگری نتواند به اکانت‌تان دسترسی داشته باشد. تنها کاری که باید انجام دهید این است که یک بار دیگر لاگین شوید و رمز عبور و کد احراز هویت دو عاملی خود را (البته اگر از قبل آن را فعال کرده باشید) وارد کنید. به همین سادگی.
• اکانت فیسبوک خود را پاک نکنید. البته اختیار با خودتان است. شما همیشه می‌توانید اراده کرده و اکانت فیسبوک خود را ببندید؛ اما اگر دلیل بستن اکانت، نقض حریم‌خصوصی اخیر باشد خونسردی خود را حفظ کنید. همه‌چیز تحت کنترل است.

شرح ماوقع

روز گذشته تاریخ 28 سپتامبر، فیسبوک یک آپدیت امنیتی عرضه کرد و توضیح داد تیم مهندسی این شرکت مشکل امنیتی پیدا کرده و در پی آن، تقریباً 50 میلیون اکانت تحت‌الشعاع قرار گرفته است. مهم اینجاست که مهاجم، از حمله‌ی حرفه‌ای استفاده کرده است، زیرا در غیر این صورت امکان نداشت  به توکن امنیتیِ[1] 50 میلیون اکانت دستبرد بزند. توکن امنیتی -آنطور که فیسبوک شرح می‌دهد- اساساً سخت‌افزاری کوچک است برای ورود کاربر یک سرویس رایانه‌ای به سامانه. اگر فردی آن را داشته باشد، فیسبوک وی را مُجاز به وارد کردن اکانت می‌داند و بدین‌ترتیب دیگر نیازی به لاگین و کدهای احراز هویت دو عاملی (2FA) ندارد. بنابراین، مجرمان سایبری با سرقت 50 میلیون توکن امنیتی به طور بالقوه توانایی دسترسی به 50 میلیون اکانت را دارند. اما این بدان معنا نیست که بتوانند رمزعبور شما را دستبرد زده و یا از مکانیزم احراز هویت دو عاملی شما عبور کنند. رمزعبورتان امن است و 2FA هم مثل قبل دارد کارش را انجام می‌دهد؛ اما سرقت یک توکن خود می‌تواند راهی باشد برای دور زدن مکانیزم‌های دفاعیِ این چنینی.

فیسبوک اینطور توضیح می‌دهد:

بررسی‌ها و تحقیقات این اتفاق هنوز در مراحل اولیه است اما در حال حاضر حدس می‌زنند فردی از طریق آسیب‌پذیری در ویژگی «View as» به این پلت‌فرم اجتماعی رخنه کرده باشد. به همین دلیل است که تیم مهندسی فیسبوک این ویژگی را تا اطلاع ثانوی غیرفعال نموده، توکن‌های امنیتیِ اکانت آن کاربرهای درگیرشده را ریست کرده و همچنین در حال ریست کردن توکن آن 40 میلیون کاربر باقیمانده است که در طول سال گذشته از این ویژگی استفاده کرده‌اند. مورد آخر تنها حکم پیشگیری دارد؛ اما همیشه پیشگیری بهتر از درمان است.

وقتی توکن، ریست می‌شود، فردی که آن را در اختیار دارد دیگر نمی‌تواند به اکانت دسترسی داشته باشد و باید باری دیگر لاگین کند. هکرها و مجرمان سایبری لاگین و یا رمزعبور شما را ندارند بنابراین اگر از همین مرحله‌ی اول دستشان رو شود دیگر نمی‌تواند تظاهر کنند کاربر واقعی هستند و قادر نیستند به اکانت شما دسترسی پیدا کنند.

فیسبوک تضمین داده است که هر زمان مشخص شد چه اتفاقی افتاده، آیا اکانت‌ها نیز دستکاری شده‌اند و یا این رخنه دقیقاً مربوط به کدام بخش می‌باشد پست خود را آپدیت کند. با این همه در چنین شرایطی توصیه می‌کنیم همان کاری را که اول مقاله گفتیم انجام دهید: هیچ کار. فعلاً هیچ کاری از دست شما ساخته نیست و نگرانی هم چیزی را عوض نمی‌کند. اگر ابهامات روشن شد و پی بردیم در این راستا، کاربران هم با انجام یک سری اقدامات می‌توانند اوضاع را به حالت اول برگردانند، شما را مطلع خواهیم ساخت.

[1]   Access Token