Há vários efeitos de fluxo do recente hack do Facebook. Shutterstock
Facebook anunciou Na sexta-feira, sua equipe de engenharia descobriu um problema de segurança que afetava quase 50 milhões de contas. Devido a uma falha no código do Facebook, os hackers conseguiram assumir uma conta e usá-la da mesma maneira que você faria se tivesse feito login na conta com uma senha.
A empresa diz que agora corrigiu o problema em seu código e redefiniu os tokens de acesso para essas contas - junto com 40 milhões de outras contas que eram vulneráveis à falha. Se você se viu desconectado da sua conta do Facebook na semana passada, é provável que você tenha sido afetado.
Além disso, pouco se sabe sobre a extensão da violação de segurança. Em sua atualização de segurança, o Facebook disse:
"Como acabamos de começar nossa investigação, ainda não determinamos se essas contas foram mal utilizadas ou qualquer informação acessada. Também não sabemos quem está por trás desses ataques ou onde eles estão baseados".
O que significa
Esta não é a pior violação de dados até hoje. Esse elogio pertence à agência de crédito Equifax, que teve dados pessoais roubados das contas de 147 milhão de pessoas. Mas, infelizmente para o Facebook, há vários efeitos de fluxo do recente hack.
Em primeiro lugar, a violação pode colidir com o Regulamento Geral de Protecção de Dados da União Europeia (RGPD), que foi introduzido em maio. Embora o GDPR se aplique apenas aos cidadãos europeus, as penalidades por violações de dados são graves - até 4% do volume de negócios global por violação.
Segundo, quaisquer contas em outras plataformas que usam a verificação do Facebook também estão em risco. Isso porque agora é uma prática comum usar uma conta como uma verificação automática para conectar-se a outras plataformas, por exemplo, usando uma conta do Facebook para fazer login em outra plataforma de mídia social, como Twitter, Spotify ou Instagram. Isso é conhecido como logon único (SSO).
Como o single sign-on funciona
Se você se conectar a qualquer sistema, precisará de alguma forma de autenticação - geralmente uma credencial de login, como um par de nome de usuário e senha. Quando você tem muitos sistemas diferentes que exigem credenciais antes de poder usá-los, de repente você se depara com dez senhas diferentes (idealmente muito longas).
Algumas pessoas podem fazer isso, mas muitas não conseguem. E ainda queremos que os sistemas sejam seguros. Se pudéssemos nos conectar a um sistema confiável para os outros e usar a senha do sistema confiável, não precisaríamos de dez senhas - apenas uma. Esse é o princípio por trás do SSO.
Mas isso só funciona enquanto o sistema confiável estiver seguro. Se não for, um cibercriminoso pode usar a conta hackeada em uma plataforma (no caso, o Facebook) para acessar qualquer outra plataforma conectada.
O que você deveria fazer
A autenticação geralmente funciona devido a um dos três fatores:
* algo que você conhece, como uma senha
* algo que você tem, como um cartão de acesso
* algo que você é, como uma impressão digital.
Claramente, usar mais de um fator aumenta a segurança. Na sua conta do Facebook, você pode optar por usar a autenticação de dois fatores. Isso significa que você precisaria digitar sua senha e um código enviado a você por meio de uma mensagem SMS quando fizer o próximo login.
O futuro da verificação
Há sempre uma tensão entre usabilidade e segurança. As pessoas querem que os sistemas sejam seguros para que suas identidades não sejam roubadas, e eles também querem que os mesmos sistemas sejam facilmente acessíveis. O SSO é uma tentativa de equilibrar usabilidade e segurança, mas o hack do Facebook revela suas limitações.
Muitas pessoas não gostam de senhas, então escolhem senhas facilmente lembradas e, portanto, facilmente quebráveis. Os cibercriminosos têm acesso a listas de milhões de senhas comuns (dica: “Gandalf” não é tão exclusivo quanto você imagina).
Os tokens de acesso, como cartões ou outros dispositivos físicos (como os usados por alguns bancos, por exemplo) são uma solução - contanto que você não os perca. Pode ser que usar um atributo físico exclusivo seja o melhor caminho a seguir. Afinal, você sempre carrega sua impressão digital, íris ou voz com você.
Sobre o autor
Mike Johnstone, Pesquisador de Segurança, Professor Associado em Sistemas Resilientes, Edith Cowan University
Este artigo foi republicado a partir de A Conversação sob uma licença Creative Commons. Leia o artigo original.
Livros relacionados
at InnerSelf Market e Amazon
