В один прекрасный день, приходит смс-уведомление от Facebook, о том, что что Д.И. прокомментировал публикацию, ну и в теле сообщения короткая ссылка на комментарий. Что странно, так это то, что до этого момента Facebook подобными уведомлениями меня не радовал)).
Собвственно, в чём заключается проблема будет описано ниже, поэтапно:
- Приходит смс содержащие ссылку https://fb.com/l/some_hash (Pic.1)
- Пользователь переходит по ссылке из смс (Mobile UA) и получает форму ввода логина и пароля (при условии, что не авторизован) (Pic.2)
- Далее, чтобы просмотреть содержимое полученной ссылки, пользователь проходит процедуру авторизации и просматривает контент скрытый за ссылкой (Pic.3)
- Если же, использовать Desktop UA, то происходит извлечение номера на который было отправлено смс с короткой ссылкой (Pic.4)
- Можно предположить, что ссылка + номер имеет отношение к тем людям, которые делятся контентом на основании которого генерируется ссылка и рассылается смс пользователям
- Ссылки формата https://fb.com/l/<some_hash> легко добываются запросами через Google (google://site:https://fb.com/l/) образуя базу ссылок (Pic.5)
- Далее с помощью скрипта запросы https://fb.com/l/<some_hash> автоматизируются и парсятся (Pic.6,7)
Следовательно, стоит рассмотреть кейс с попаданием СОДЕРЖИМОГО СМСКИ в третьи руки, и т.к. содержимое смски не несёт в себе какой-либо конфиденциальной информации для пользователя, а только короткую ссылку на пост/уведомление, то пользователи могут без особого труда делиться ссылками и содержимым смс сообщений и выкладывать их в публичный доступ.
Следовательно, с извлечением номера и имени в начале смски (e.g. Alexander, Дмитрий Иванов прокомментировал публикацию: https://fb.com/l/by7<…>EI9 , в итоге злоумышленнику доступны имя + номер сотового.
Всё вышеизложенное было отправлено в ФБ, на что был получен вот такой вот ответ, который в принципе меня не удивил ни разу:
- Правильные вопросы без ответов:
- Какой TTL ссылок?
- Есть ли он вообще?
- Вы действительно думаете, что ФБ заботится о ваших персональных данных? 😃
