Bir tehdit aktörü, Facebook Marketplace kullanıcılarının cep telefonu numaralarını, e-posta adreslerini ve diğer kişisel bilgilerini içerdiğini iddia ederek bir hacker forumunda 200.000 kaydı sızdırdı.
BleepingComputer, verileri çevrimiçi sızdıran tehdit aktörü IntelBroker tarafından paylaşılan örnek veriler içindeki e-posta adresleri ve telefon numaralarını rastgele kayıtlarda eşleştirerek sızdırılan verilerden bazılarını doğruladı.
Bugün erken saatlerde BleepingComputer ile iletişime geçildiğinde bir Meta sözcüsü yorum yapmak için hemen müsait değildi.
IntelBroker, bu kısmi Facebook Marketplace veritabanının, bir Meta yüklenicisinin sistemlerini hackledikten sonra ‘algoatson’ Discord tanıtıcısını kullanan biri tarafından çalındığını iddia ediyor.
IntelBroker, “Ekim 2023’te, Discord’daki ‘algoatson’ adlı bir siber suçlu, Facebook için bulut hizmetlerini yöneten bir yüklenicinin ihlalini yaptı ve 200.000 girişten oluşan kısmi kullanıcı veritabanını çaldı.” dedi.
Sızan veritabanı; isimler, telefon numaraları, e-posta adresleri, Facebook kimlikleri ve Facebook profil bilgileri dahil olmak üzere çok çeşitli kişisel olarak tanımlanabilir bilgiler (PII) içeriyor.
Tehdit aktörleri, phishing saldırılarında internete sızdırılan e-posta adreslerini ve Facebook Marketplace kullanıcılarının cep telefonu numaralarını mobil phishing saldırılarında kullanabilir.
Açığa çıkan cep telefonu numaraları ve kişisel bilgiler, SMS yoluyla gönderilen çok faktörlü kimlik doğrulama kodlarının çalınmasına ve hedef hesapların ele geçirilmesine olanak tanıyan SIM takas saldırılarında da kullanılabilir.
IntelBroker, ABD Temsilciler Meclisi üyelerinin ve personelinin kişisel verilerinin internete sızdırılmasının ardından kongre duruşmasına yol açan DC Health Link’in ihlaliyle tanınıyor.
IntelBroker ile bağlantılı diğer siber güvenlik olayları arasında Hewlett Packard Enterprise’dan (HPE) çalınan verilerin satışı, General Electric Aviation’ın ihlali iddiası ve Weee! bakkal servisi.
Facebook Marketplace veri sızıntısı, Meta’nın son yıllarda yaşadığı bu türden ilk olay değil.
Kasım 2022’de Meta, 533 milyondan fazla Facebook hesabına bağlı verilerin Nisan 2021’de bir hacker forumunda sızdırılmasının ardından, Facebook kullanıcılarının kişisel bilgilerini kazıyıcılardan korumadığı için 265 milyon Euro (275,5 milyon $) para cezasına çarptırıldı.
Çalınan veriler ilk olarak Haziran 2020’de bir bilgisayar korsanlığı topluluğunda ortaya çıktı ve genel profillerden ve etkilenen hesapların özel cep telefonu numaralarından alınabilecek bilgiler içeriyordu.
533.313.128 Facebook kullanıcısının cep telefonu numaraları, Facebook kimlikleri, isimleri, cinsiyetleri, konumları, ilişki durumları, meslekleri, doğum tarihleri ve e-posta adresleri dahil olmak üzere verileri sızdırıldı.
O dönemde BleepingComputer tarafından görülen Facebook verileri örneklerine göre, Nisan 2021’de sızdırılan hemen hemen her Facebook kullanıcı kaydı, kullanıcıların cep telefonu numaralarını, Facebook kimliklerini ve adlarını içeriyordu.
Nisan 2021 veri sızıntısı ayrıca Facebook’un üç kurucusunun (yani Mark Zuckerberg, Chris Hughes ve Dustin Moskovitz) telefon numaralarını da içeriyordu.