 |
Theo tác giả Bill Ray trên trang web TheRegister.co.uk, chỉ cần một ứng dụng gián điệp hay 2 phút kết nối USB là tin tặc đã có thể đánh cắp các thông tin đăng nhập tạm thời trên thiết bị.
Gareth Wright, nhà phát triển ứng dụng cho thiết bị iOS và Android làm việc tại Anh, là người đã phát hiện ra lỗ hổng bảo mật này.
Trong một bài blog, ông Wright cho biết đã phát hiện lỗ hổng này trong khi đang lục lọi vài thư mục ứng dụng trong điện thoại iPhone của ông bằng một công cụ miễn phí. Trong khi tìm kiếm, ông thấy có một thẻ xác thực truy cập Facebook trong một game trên điện thoại của ông.
Sau khi chép lại mã của thẻ xác thực này, ông dùng nó để trích xuất thông tin từ Facebook bằng cách dùng ngôn ngữ truy vấn FQL (Facebook Query Language). Dĩ nhiên, ông có thể lấy được nhiều thông tin từ tài khoản Facebook của mình. Và nếu ông có thể làm được việc này thì bất kỳ ai cũng có được một trong những thẻ xác thực trên cũng có thể đánh cắp thông tin.
Điều đó khiến ông tò mò về chính ứng dụng Facebook. Khi lục lọi trong thư mục của ứng dụng đó, ông thấy rất ngạc nhiên về những gì có trong thư mục. Trong tập tin danh sách thuộc tính plist - là tập tin văn bản thuần chứa các thiết lập của người dùng - có một khóa không được mã hóa cho phép bất kỳ ai có được khóa này có thể truy cập hoàn toàn vào một tài khoản Facebook.
Để thử nghiệm, ông Wright gửi tập tin plist của ông cho một người bạn. Người này đã dùng plist này thay cho plist của chính ông ta.
Ngạc nhiên thay, trong vòng vài phút, ông Wright đã có thể thấy các dữ liệu hiện ra trên trang tường của ông, gồm các bài viết (post) các tin nhắn riêng đã gửi, các trang web được ưa thích và các ứng dụng đã thêm vào.
Là một nhà khoa học, ông Wright quyết định minh họa cách một tin tặc có thể ăn cắp tập tin plist từ điện thoại. Ông viết một mã có thể dùng để gây nhiễm máy tính cá nhân, phần mềm... Mã này theo dõi các tập tin plist của bất kỳ thiết bị nào mà nó tiếp xúc - dù mã có thể dễ dàng được chỉnh lại để sao chép các danh sách này. Trong vòng một tuần, đã có hơn 1.000 plist được định vị và liệt kê, ông Wright cho biết.
Nhà phát triển này đã thông báo cho Facebook về lỗ hổng này và mạng xã hội khổng lồ này cho biết họ đang sửa lỗi. Nhưng ông nhận thấy là ngay cả khi Facebook đã sửa lỗi trong ứng dụng, các thành viên của mạng này vẫn có thể bị tấn công bằng cách dùng thẻ xác thực văn bản thuần mà nhiều nhà phát triển đang lưu trữ trong các tập tin plist trong game của họ.
Hồi đầu năm nay, ứng dụng Facebook cho Android bị xem là một trong nhiều ứng dụng đã theo dõi các tin nhắn SMS trên điện thoại có cài đặt ứng dụng này. Facebook đã phản bác tố cáo này. Dù ứng dụng này yêu cầu được phép nhận, xử lý và viết tin nhắn văn bản và luôn cả đọc các tin nhắn đó, nhưng Facebook cho biết ứng dụng này không dùng các quyền được cho phép đó.