「Facebook」タグアーカイブ

トランプ大統領夫人のメールアドレスをFacebookから探し当てたハッカーの手法

ベルギーの「倫理的な」ハッカーが、フェイスブックのアカウント回復フォームを使って、メラニア・トランプ大統領夫人のメールアドレスを特定し、メールを送った、というニュースです。

ベルギー北部の人口8万人の町アールストを愛する Inti De Ceukelaire さん(@intidc)は、トランプ大統領のベルギー訪問にあわせて、夫人に「ベルギーのラスベガス、ただし金持ちとカジノとホテルは無い」アールストを訪問することを薦めたメールを送ったそうです。

昔からある「メールアドレスからFacebookアカウントを見つける」話ではなく、「Facebookアカウントを持ってる人のメールアドレスを当てる」話です。

必ずアドレスがわかるわけではなく、人によってはアドレスがわかってしまうかもしれないヒントが得られるということなのですが、その手順はこんな感じ。

ログインしてない状態で、「アカウントを忘れた場合」をクリックします

「アカウントを検索するには、メールアドレスまたは電話番号を入力してください。」と言われるのですが、ここでメールでも電話番号でもなく、名前を入れます。

そうすると、合致したり似ているユーザーが出てくるので、

ターゲットを選ぶと、こんな風に、アスタリスクで色々隠されたメールアドレスが表示されるというわけ。

ドメイン名の方は、@gmail.com などだとそのまま表示されるようですし、@y****.c*.jp みたいに隠されていても、よくある無料メールのドメインなら「あ、@yahoo.co.jp だなこれ」とわかることもあるでしょう。

アカウント名の方はというと、 c******8@ みたいに、先頭と最後の文字が表示されるようです。

メラニア夫人のメールアドレスがどんなものだったか、は@intidc さんもモザイクで隠しているのですが、当てることができたということは、ドメインはトランプ氏の関連のものかアメリカ政府関係のものか、あるいはgmail や yahoo mail 等のメジャーなものだったのかもしれません。

そして、アカウント名の方も、たとえば m*****a@ みたいな名前そのままとか、m*******1@ のように名前+数字数桁、が推測できるようなものだったのかもしれません。@intidc さんはスクリプトを回してメールが届くアドレスを探したようなので、後者のように総当たり可能なレベルで明らかなアカウント名だったのでしょうか。

名前等から推測できず、同じ人がツイッターやインスタグラム等別のサービスで使っているアカウントと同一でもなく、極端に短く(3文字で先頭と最後がばれたら後は簡単です)もなければ、必ずメールアドレスがばれる、という話ではなさそうですが、人によっては隠しているつもりのアドレスがまったく知らない他人に推測されてしまうこともありそうです。

via HLN.be via TheNextWeb

Facebook、バグによってCEOマーク・ザッカーバーグ氏の死亡を伝える

このバグはひどい

創業者ザッカーバーグ氏をはじめ、複数の有名人のFacebookプロフィール上が「追悼アカウント」とされ、故人を悼むメッセージが表示されていたということです。

マークを愛した人々が、共有された追憶と称賛で心慰められるよう願います。

We hope people who love Mark will find comfort in the things others share to remember and celebrate his life.

「何人が若死にした? 僕も死んだよ」という人も。

有名人や自社の社長だから騒ぎになってすぐ訂正されましたが、もしかしたら一般人でFacebookに殺されたままの人というのも、もしかしたらいるのかもしれないですね。

フェイスブックCEOマーク・ザッカーバーグ氏のプライバシー防衛術

Facebook社が大金をはたいて買収した、スマートフォン写真共有サービス Instagram の月間ユーザー利用数5億人突破したということで、Facebook 創業者でCEOでもあるマーク・ザッカーバーグ氏がFacebookアカウントで祝意を寄せています。

この写真を見てChris Olsonさん(@topherolson)がツイッター上で指摘したのは、ザッカーバーグ氏の使っているラップトップの様子。

  • カメラがテープで塞がれている
  • マイクがテープで塞がれている
  • メールクライアントは Thunderbird

zuckerberg-laptop-with-camera-taped

ソーシャルでの写真の共有を、そして最近は動画の共有を強力に推進しているフェイスブックの長としてどうなんだ、という話もあるでしょうけど、常に注目される富豪&有名人としては、身の回りの情報が間違っても他者に収集されないように気を配る必要があるのかもしれませんね。

セキュリティのチェックをしてくれる有能なスタッフがまわりにたくさんいるであろう氏がここまでの注意を払っているのですから、大事な情報を扱っている人はラップトップやスマートフォン等のカメラやマイクは塞いで置くことも検討したほうがいいのかもしれません。

Facebookが母の日専用の花アイコン「感謝!」をテスト中

フェイスブックのいいね! のリアクション、「うけるね」「悲しいね」など現在は6種類から選べますが、

facebook-reactions

ソースコード中に花アイコンと「感謝!」の文字が追加されているのを、ツイッターユーザー @sreedevsharma さんが発見しています。

実際ソースコードを見ると、is_visible: false (見えない)という状態で感謝のリアクションが含まれていますね。

The Verge がフェイスブック社に問い合わせたところ、「母の日を祝って、いくつかのマーケットで花を贈るリアクションをテスト中です」という回答を得たとのこと。

「アメリカでは有効にならない」とも言われたそうですが、日本は母の日もアメリカと同じ今週末ですし、ソースコードは日本語も対応(「感謝!」と入ってます)しているので、日本語ユーザーは日曜にこのリアクションが使えるようになるのかもしれません。

一時的な特別リアクションらしいですが、一回つければその後もつけた記事にはこの花が表示され続けるようです。

特定の日だけ使えるようなリアクションの話は今回初めてだと思いますが、これがうまくいけば、いろいろな記念日で特別なリアクションが用意されるようになったりするのかもしれません。

[追記 2017-05-19] 2017年も、日本のユーザーに対して母の日一日限定でこの「感謝いいね」が有効になっていたようです。

他人のFacebookアカウントを乗っ取る方法を見つけた人が$15000の報奨金を貰う

アナンド・プラカッシュさん(Anand Prakash)が月曜にブログで報告したのは、フェイスブックで他人のパスワードを取得する方法を見つけたという話。

Facebook のパスワードを忘れた時の再取得の手順は以下のようなものです。

  1. 電話番号かメールアドレスを入れる
  2. 送られてきた6桁の数字を本人の証明として入力
  3. 新しいパスワードを設定する画面に行ける

3でデタラメな数字を入れ続けると、10-12回ぐらい失敗した時点でブロックされてしまうそうです。ですので、6桁の数字を総当たりで試すことなどできないはず(=安全)なのですが、

  • beta.facebook.com
  • mbasic.beta.facebook.com

というfacebookに同じようにアクセスできるサブドメインでこれを行った場合、失敗してもブロックされないのを見つけた、というのです。

何回でも試せるので、10万回繰り返すスクリプトを回し、(他人のパスワードを本当に変えると犯罪なので)自分のアカウントのパスワードの再設定ができることを確認した、ということ。

こちらがデモ動画

Facebook への報告が2月22日、翌23日には修正を確認したということで、もちろん現在はこの手は使えません。

プラカッシュさん、3月2日には、Facebook からセキュリティホール発見の報奨金として$15000(166万2870円) を受け取ったということです。

ものすごい技術力がある、とかでもなく、beta. というアクセスができる別の入口を知っていた、とか、そこでたまたま試してみた、とか、こんな形でのセキュリティホール発見もあるんですね。これで$15000(166万2870円) 貰えるのは嬉しいだろうな、とは思いますが、もしこの hack が本格的に悪用されていたらどれぐらいの損害を被っていたかと思うと、Facebook には安く上がったと言えるのではないでしょうか。

もし2月23日以前に「変えた覚えがないのにパスワードが変わってた」ということがあった人は、気づくまでの間に同じ手口でアカウントにアクセスされていた可能性もゼロではないですね。

子供が映っている写真は自動的に限定公開にしたい、とフェイスブックの中の人が語る

「フェイスブック10年間のイノベーション」というイベントでフェイスブック副社長(日本語の副社長ほどは高い役職ではありません)のジェイ・パリクさんが語ったところによると、親が自分の子供の写真をフェイスブックへアップロードして、それがフェイスブック全体に公開する指定となっている場合に、「知人限定じゃなくていいんですか?」と警告することが将来的にできるだろうということです。

GoogleもFacebookも、利用者が撮影してアップロードした写真の中の人物の誰が誰かを特定することに一生懸命になっています。いずれは動画の中に映っている人を特定したりもできるようになるでしょう。

巨大なネットサービスに、居場所や友人とのやりとりだけでなく顔や表情まで読み取られ、広告のターゲットとなっていくのは不安もあります。ユーザーのためになることにも使えるんですよ、という言い訳用であっても、子供のプライバシーを守るための機能も検討してくれるのはいいかなと思います。