KCI-20180928-01

KCI-20180928-01 SI-I-S-C Facebookから5000万人分のアクセストークン漏えい

識別コード	KCI-20180928-01
対象クラウドサービス	Facebook
攻撃カテゴリ	I(情報漏えい)
STRIDE	S(なりすまし),I(情報漏えい)
データタイプ	I(個人情報)
件数	S(50,000,000件以上)
責任主体	C(クラウドサービスプロバイダー)
主な原因	View As機能の脆弱性
概要	View As機能の脆弱性からアクセストークンが漏えい。アクセストークンはすでに無効化されているが、Facebookを利用してSSOしていた場合、SSO先のサービスに対しても不正ログインされていた可能性がある。
参考	Facebook、5000万人の情報が流出か　脆弱性突かれアクセストークン流出 Facebookで約5,000万人分のアクセストークンが流出、脆弱性が原因か The Massive Facebook Hack Might Have Affected Other Apps and Websites, Too Facebookのデータ流出は、データが悪用されない限り忘れられる Facebook、最大5000万人分のアクセストークン流出。予防措置で9000万人を強制ログアウト Facebookにサイバー攻撃--約5000万人の利用者に影響 Facebook、サイバー攻撃で情報流出の可能性　5000万人のアカウントに影響 続報：Facebookの情報流出は、外部サイトを巻き込む“大惨事”に発展する Facebook情報流出、日本ユーザーの被害有無は「調査中 Facebookデータ流出の対象EUユーザーは最大500万人、罰金は最大16.3億ドル Facebook、9月発覚の攻撃で1400万人の電話番号や勤務先などがアクセスされたと発表

時系列

1. 2017/07 脆弱性が作りこまれた
2. 2018/09/25 脆弱性を発見
3. 2018/09/28 情報を公開