https://labs.cybozu.co.jp/blog/akky/tags/%E5%A0%B1%E5%A5%A8%E9%87%91/ Recent content in 報奨金 on akky@サイボウズラボ・ブログ Hugo ja Wed, 09 Mar 2016 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2016/03/brute-force-password-hack-on-facebook-rewarded-15000usd/ Wed, 09 Mar 2016 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2016/03/brute-force-password-hack-on-facebook-rewarded-15000usd/ <p>アナンド・プラカッシュさん(Anand Prakash)が月曜に<a href="http://www.anandpraka.sh/2016/03/how-i-could-have-hacked-your-facebook.html">ブログで報告</a>したのは、フェイスブックで他人のパスワードを取得する方法を見つけたという話。</p> <p>Facebook のパスワードを忘れた時の再取得の手順は以下のようなものです。</p> <ol> <li>電話番号かメールアドレスを入れる</li> <li>送られてきた6桁の数字を本人の証明として入力</li> <li>新しいパスワードを設定する画面に行ける</li> </ol> <p>3でデタラメな数字を入れ続けると、10-12回ぐらい失敗した時点でブロックされてしまうそうです。ですので、6桁の数字を総当たりで試すことなどできないはず(=安全)なのですが、</p> <ul> <li>beta.facebook.com</li> <li>mbasic.beta.facebook.com</li> </ul> <p>というfacebookに同じようにアクセスできるサブドメインでこれを行った場合、失敗してもブロックされないのを見つけた、というのです。</p> <p>何回でも試せるので、10万回繰り返すスクリプトを回し、(他人のパスワードを本当に変えると犯罪なので)自分のアカウントのパスワードの再設定ができることを確認した、ということ。</p> <p>こちらがデモ動画</p> <div style="position: relative; padding-bottom: 56.25%; height: 0; overflow: hidden;"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share; fullscreen" loading="eager" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/U3Of-jF1nWo?autoplay=0&amp;controls=1&amp;end=0&amp;loop=0&amp;mute=0&amp;start=0" style="position: absolute; top: 0; left: 0; width: 100%; height: 100%; border:0;" title="YouTube video"></iframe> </div> <p>Facebook への報告が2月22日、翌23日には修正を確認したということで、もちろん現在はこの手は使えません。</p> <p>プラカッシュさん、3月2日には、Facebook からセキュリティホール発見の報奨金として$15000 を受け取ったということです。</p> <p>ものすごい技術力がある、とかでもなく、beta. というアクセスができる別の入口を知っていた、とか、そこでたまたま試してみた、とか、こんな形でのセキュリティホール発見もあるんですね。これで$15000 貰えるのは嬉しいだろうな、とは思いますが、もしこの hack が本格的に悪用されていたらどれぐらいの損害を被っていたかと思うと、Facebook には安く上がったと言えるのではないでしょうか。</p> <p>もし2月23日以前に「変えた覚えがないのにパスワードが変わってた」ということがあった人は、気づくまでの間に同じ手口でアカウントにアクセスされていた可能性もゼロではないですね。</p>