Facebook è la piattaforma di social network numero uno e l'hacking degli account Facebook è tra i principali obiettivi degli hacker. Infatti, sui motori di ricerca, “How to Hack Facebook Account” è tra le query più cercate. Ingegnere della sicurezza e cacciatore di bug, Anand Prakash è stato in grado di hackerare gli account Facebook con un semplice bug di ripristino di Facebook.
Questo bug è stato scoperto dall'ingegnere della sicurezza indiano Anand Prakash di 22 anni. Avrebbe anche potuto violare qualsiasi account Facebook senza comunicare con l'utente. Inoltre, avrebbe potuto consentirgli di visualizzare i messaggi e le credenziali della carta di credito/debito, foto e altro.
Leggi anche: Un nuovo strumento può hackerare gli account Facebook
Prakash ha dichiarato sul suo blog che "Ogni volta che un utente dimentica la sua password su Facebook, ha la possibilità di reimpostare la password inserendo il suo numero di telefono/indirizzo e-mail, dopodiché Facebook invia un codice a 6 cifre al numero di telefono o all'indirizzo e-mail dell'utente che aiuta l'utente a impostare una nuova password per il suo account. Ha inoltre affermato che si è stancato di brutere il codice a 6 cifre su Facebook ed è stato bloccato dopo 10-12 tentativi consecutivi non validi.
Dopo che gli è stato impedito di ottenere il codice a 6 cifre, si è diretto alle pagine Beta di Facebook, beta.facebook.com e mbasic.beta.facebook.com, ha scoperto che mancava il limite di frequenza nella sezione password dimenticata in queste due beta siti web. Si è reso conto che non c'erano limiti, quindi avrebbe potuto permettergli di usare la forza bruta in qualsiasi account Facebook.
POST /recover/as/code/ HTTP/1.1 Host: beta.facebook.com
lsd=AVoywo13&n=XXXXX
La forzatura bruta della "n" mi ha permesso di impostare una nuova password per qualsiasi utente di Facebook.
Video di questa vulnerabilità:
Prakash ha inoltrato questo "Reset Bug" al team di sicurezza di Facebook il 22 febbraio 2016. Facebook si è reso conto della gravità di questo bug e quindi lo ha risolto. Gli è stato anche assegnato un bug bounty di $ 15.000.