예전에 Android에서 Facebook 앱을 열 었는데 “세션이 만료되었습니다. 다시 로그인하십시오.”라는 메시지가 표시되었습니다. 그런 다음 현재 비밀번호로 로그인을 시도했고 내 계정에 성공적으로 로그인했습니다. 오래 전에이 계정을 만들 때 계정에 대해 이중 인증을 설정했고 로그인 한 후 확인했을 때 여전히 활성화되었습니다.

그 후, 랩톱을 열고 Chrome에서 Facebook으로 이동하여 PC 세션도 로그 아웃되었음을 확인했습니다. 다시 로그인 한 후 보안 설정에서 “로그인 할 때”섹션을 확인하고 과거에 로그인 한 항목이 모두 사라진 것을 보았습니다. 내가받은 유일한 항목은 내 휴대 전화와 내 노트북의 로그인 (신뢰할 수있는 기기 인 것처럼 보임)뿐이었습니다.

누군가 내 계정에 액세스하려고 시도 (성공 했습니까?)를 생각하고있었습니다. 모든 현재 세션에서 로그 아웃되었습니다. 그러나 비정상적인 로그인을 인증하라는 의심스러운 메시지 (예 : “방금 xxxxx 위치 근처에 로그인 했습니까?”)를 휴대 전화로받지 않았으며, 등록 된 이메일에서 내 계정에 대한 액세스를 알리는 경고 이메일도 없었습니다. 인식 할 수없는 브라우저 또는 컴퓨터입니다.

Tl; dr : Facebook 계정이 갑자기 모든 기기에서 로그 아웃되었으며, 비밀번호가 변경되지 않았으며, 로그인 한 항목이 사라졌습니다. 계정 도용에 대한 이메일 경고, 이중 인증 프롬프트가 표시되지 않았습니다.

제 질문은 다음과 같습니다.

  • 누군가 내 계정에 성공적으로 액세스 할 수있는 가능성이 있습니까? 그렇다면 2 단계 인증을 어떻게 우회 할 수 있습니까?

  • 그 사건이 정상입니까, 아니면 보안 조치를 취해야합니까?

감사합니다!

댓글

  • 어떤 2FA 방법을 사용하십니까? ' Facebook에서 제공하는 방법을 기억하지 못합니다.하지만 누군가가 나를 가장하고 번호로 SIM을 쉽게 얻을 수 있기 때문에 SMS가 약합니다. . 대형 유튜브 크리에이터를 표적으로 삼아 채널을 삭제 한 연쇄 명의 도용자가 있었는데 여러 크리에이터에게이 작업을 수행했습니다). 그러나이 경우 SIM이 ' 지금 작동하지 않아야합니다. 다른 유형의 2FA는 신뢰할 수있는 장치에 액세스하지 않고는 중단하기가 더 어렵습니다. 세션이 방금 만료되었을 수 있습니다.
  • Android 앱용 Facebook에서 SMS와 코드 생성기를 모두 사용합니다. SMS에 관해서는 내 SIM이 여전히 잘 작동합니다. 코드 생성기의 경우 실제로 OTP 코드를 얻기 위해 Facebook 앱을 열 필요가 ' 없습니다. 아래로 스 와이프 한 알림 표시 줄에 메시지가 표시됩니다. " 예 "를 클릭하여 로그인을 확인하거나 " 아니요 " 의심스러운 활동의 경우입니다. " 예 "를 클릭하면 브라우저가 자동으로 나를 뉴스 피드로 리디렉션합니다.
  • 믿습니다. SMS를 제거해야합니다. 그들은 실제로 보안을 추가하지 않으며 실제로 보안을 많이 줄입니다 (내가 말했듯이 ' SIM 상점에서 누군가에게 SIM을 제공하도록 설득하는 것은 매우 쉽습니다. 따라서 기본적으로 암호를 쓸모 없게 만듭니다). AFAIK 말씀하신 내용에 따르면 ' 이에 대해 이상하다고 생각하지 않습니다. 거의 동시에 모든 기기에서 세션을 만들었고 모두 짧은 시간 내에 만료되었을 수 있습니다. .
  • 모든 기기에서 로그 아웃되었지만 첫 번째 로그 아웃 후 다시 로그인 한 후 동일한 기기에서도 두 번 로그인했습니다.
  • 알림 요청을받은 +1 예기치 않게 로그인합니다. 보안 조치 (예 : 인증)가 예기치 않게 필요할 때를 알아 차리는 것은 좋은 보안 관행입니다. 당신은 또한 자격 증명을 다시 입력하기 전에 진정한 Facebook 로그인 페이지를보고 있는지 확인했습니다.

답변

Facebook은 오늘 데이터 유출을보고했으며 예방 조치로 많은 계정을 강제로 로그 오프했습니다. 출처 : NY Times 및 Facebook .

NYT 기사에 따르면 “회사는 9 천만 명 이상의 사용자가 금요일 초에 로그 아웃하도록 강요했는데, 이는 계정이 도용되었을 때 일반적으로 취하는 안전 조치입니다.”

추가 기사 from The Hacker News-“알 수없는 해커 또는 해커 그룹이 자사의 제로 데이 취약점을 악용했습니다. 5 천만 개 이상의 계정에 대한 비밀 액세스 토큰을 훔칠 수있는 소셜 미디어 플랫폼 “ 및 “Facebook은 예방 조치로 영향을받는 거의 5 천만 개의 Facebook 계정과 추가로 4 천만 개의 계정에 대한 액세스 토큰을 이미 재설정했습니다. “

댓글

  • OP와 마찬가지로 영향을 받았습니다.하지만 ' 모든 토큰을 취소하고 ' 로그인 할 때 정보를 제거하여 ' 누군가 데이터에 액세스했는지 확인하지 마십시오 …
  • @ThibaultD. 매우 편리 할 수 있습니다.

답변

누군가 내 계정에 성공적으로 액세스 할 가능성이 있습니까? 그렇다면 n 2 단계 인증을 어떻게 우회 할 수 있습니까?

계정에 2fa가있는 경우 공격자가이 익스플로잇을 사용하여 침입 할 가능성은 거의 없습니다. . 하지만 많은 Facebook 사용자는 2 단계 인증을 사용하지 않습니다.

그 사건이 정상입니까, 아니면 보안 조치를 취해야합니까?

이미 수행 된 작업입니다. 이전 토큰은 더 이상 유효하지 않습니다. 사용자에게도, 공격자에게도 해당되지 않습니다. 따라서 갑자기 액세스 할 수 없었습니다. 다시 로그인하지 않고 Facebook. 당신처럼 스푸핑 할 수있는 토큰을 악용하려는 사람에게도 마찬가지입니다. 그들 역시 재 인증을 받아야합니다. Facebook의 어떤 진술도 이러한 특정 악용 또는 취약성의 결과로 귀하를 인증 할 수 있다는 것을 암시하지 않습니다. 그들은 또한 페이스 북이 토큰을 재설정하는 것 이상을했다고 완전히 밝히지 않습니다. 만약 그것이 그들이 한 모든 일이라면, 모든 공격자들은 토큰 수집을 다시 시작하는 것입니다. 나는 페이스 북이 취약점을 패치했다고 가정합니다. 도난당한 토큰이 향후 다시 악용되지 않도록합니다.

댓글

  • 공격자가 토큰을 다시 수집하는 것과 관련하여 Facebook은 누수를 일으킨 기능 (" View as "). 출처 : ' 회사 [ Facebook ]는 보안을 검토하는 동안 " 다음으로보기 " 기능을 일시 중지했습니다. '
  • 같은 기사 에는 " 세 개의 개별 버그로 구성된이 취약점은 또한 해커가 액세스 토큰 (비밀번호를 다시 입력하지 않고도 서비스에 로그인 상태를 유지할 수 있도록하는 디지털 키)을 얻을 수있게하여 다른 사람을 제어하는 데 사용할 수 있습니다. '의 계정. " 귀하가 말한 내용과 모순되는 것 같습니다.
  • 이 답변이 잘못되었습니다. . Mark Zuckerberg 자신이 게시 성명에서 " 우리는 공격자가 기술적 취약점을 악용하여 훔친다는 사실을 발견했습니다. 약 5 천만 명 '의 계정 "에 로그인 할 수있는 액세스 토큰 . 그는 또한 문제가 패치되었으며 취약점을 악용하는 데 사용 된 경로 (" 다음으로보기 ")가 일시적으로 비활성화되었다고 말합니다. 그것을 검토하십시오.
  • @Herohtar-Zuckerberg '의 진술은 평신도에게 즉시 명백한 방식으로 훔친 세션 쿠키를 설명하려는 시도입니다. ' 주제에 이미 정통한 사람들에게는 그러한 진술이 명백히 부정확 한 경우가 매우 흔합니다. 이 경우 정답이며 기술적으로 잘못된 Zuck '의 진술입니다 (비전문가에게 유용 할만큼 충분히 가까우며 충분히 단순화 됨). .
  • @DaveSherohman 아니요, 답은 확실히 틀 렸습니다. 나는 Zuckerberg가 가장 권위있는 사람이라고 인용했지만, 실제로 Facebook 팀의 사람들과 이야기를 나눈 기술 사이트의 다른 여러 기사가 있으며 모두 로그인이 허용되었다고 말합니다. 또한 세션 쿠키가 아니라 도난당한 인증 토큰이었고, 이것이 바로 로그인을 허용하는 것입니다 (세션 쿠키도 가능함). 마지막으로 Facebook 로그인을 사용한 계정 (Instagram, Twitter 등)에 대한 액세스를 허용했다고 구체적으로 명시했습니다. 이러한 계정은 도난당한 정보가 영향을받지 않는다고 ' 전혀 영향을받지 않습니다. ' 로그인을 허용하지 않습니다.

답변

이 질문은 FB 이 문제의 처리가 심하게 잘못되었습니다. 예기치 않게 로그 아웃되어 다시 로그인하라는 요청이 피싱과 유사하게 사용자가 처리해야합니다.

세션 토큰을 무효화 한 후 Facebook은 유효하지 않은 토큰을 기본 로그인 페이지가 아닌 위반을 설명하고 사용자에게 로그 아웃을 클릭하도록 요청한 페이지로 리디렉션 한 다음 수동으로 브라우저 위치 표시 줄에 facebook.com를 입력하고 다시 로그인합니다.

댓글

  • " facebook.com "를 입력하려는 5 천만 명의 사용자는 오타.
  • 설명은 확장 된 논의를위한 것이 아닙니다. 이 대화는 채팅으로 이동 되었습니다.

답변

이는 Facebook에서 시작된 예방 조치였습니다.

매우 중요한 점을 상기시켜줍니다.

Facebook은 게시판입니다. 사람들이보기를 원하지 않는 것을 게시판에 올리지 마세요.

이것을 기억하세요. 그러면 많은 “보안”걱정은 사라집니다. 전부는 아니지만 많이 있습니다.

댓글

  • 개인 정보 보호는 보안과 관련된 유일한 문제가 아닙니다. 예를 들어 ' 누구나 액세스 할 수있는 데이터에 관계없이 나를 가장하는 것을 원하지 않습니다.
  • 또한 사람들은 Facebook을 사용하여 다양한 사이트 …
  • ' 게시판을 비밀번호 관리자로 사용하지 않는 것이 좋습니다.
  • 여러 사람과 대화하는 방법 사람들이 개별적으로 그리고 개인적으로 게시판에 게시하는 것과 비교합니까? Facebook은 단순히 공개 담벼락에 글을 게시하는 것 이상입니다.

답변

누군가 내 계정에 성공적으로 액세스 할 수 있었을 가능성이 있습니까? 그렇다면 2 단계 인증을 어떻게 우회 할 수 있습니까?

예. 그들은 Facebook의 코드에있는 버그를 악용했습니다. 그들이 볼 수 있었던 것은 – 아무도 모릅니다. 우리는 Facebook이보고 한 것만 알고 있지만이 회사가 모든 정보를 공개한다고 믿습니까?

정상적인 사건입니까, 아니면 보안 조치를 취해야합니까?

귀하의 계정을 보호하지 않는 사이트에서 계정을 삭제하는 것이 좋습니다. 이 사이트에있을 때의 이점과 다른 침해의 위험,이 회사에 보내는 데이터의 민감도 및 그로부터 추측 할 수있는 모든 것 을 비교 해봐야합니다. 여기에는 성적 취향, 파트너, 업무, 재정 상황, 비공개 채팅 메시지가 포함될 수 있습니다 …

답글 남기기

이메일 주소를 발행하지 않을 것입니다. 필수 항목은 *(으)로 표시합니다