Hacker hackt sämtliche Facebook-Konten und wird mit 15.000 US-Dollar belohnt

Dem indischen Hacker Anand Prakash ist es gelungen, eine Sicherheitslücke aufzudecken, die ihm den Zugriff auf sämtliche 1,6 Milliarden Facebook-Konten ermöglichte. Prakash, der eigentlich als Sicherheitsingenieur für die Einkaufsseite Flipkart in Bangalore arbeitet, konnte durch die Erstellung eines neuen Passwortes Nachrichten lesen, Kreditkartendaten erfahren, private Fotos anschauen und vieles mehr. Weil er dieses Wissen aber nicht für eigene Zwecke ausnutzte, sondern dem Unternehmen meldete, versprach Facebook ihm eine Belohnung in Höhe von 15.000 US-Dollar - eine Praxis, die unter großen Firmen durchaus üblich ist.

Lukrativer Nebenjob: Hacker

Da Sicherheitslücken in Computerprogrammen kaum zu vermeiden sind, bieten viele Unternehmen Prämien für die Aufdeckung solcher Fehler. Hacker, die Firmen helfen, Schwachstellen in ihren Programmen zu finden, werden "White Hats" genannt. Ihnen gegenüber stehen die "Black Hat"-Hacker, die gefundene Sicherheitslücken entweder selbst ausnutzen oder aber ihr Wissen auf dem Schwarzmarkt anbieten und verkaufen.

Laut der indischen Website "Yourstory" wurde Prakash schon während seines Studiums auf die Prämienprogramme für Softwarefehler, sogenannte "Bug Bountys" aufmerksam. Facebook selbst hat auch in der Vergangenheit schon öfter von Prakash profitieren können. Schon 2013, 2014 und 2015 hatte er Schwachstellen gefunden und seine Entdeckungen bei Facebook gegen ansehnliche Prämien eingetauscht.

Wo war der Fehler bei Facebook?

Die von Prakash entdeckte Sicherheitslücke war im Login-Prozess zu finden. Vergisst ein Nutzer seinen Zugangscode, so kann er sich an seine E-Mail-Adresse einen sechsstelligen Code schicken lassen und durch diesen ein neues Passwort festlegen. Um Hackern entgegenzuwirken, ist aber nach 10 bis 12 falschen Versuchen in der Regel Schluss.

Prakash hat nun aufgedeckt, dass diese Sicherheitsmaßnahme jedoch nur bei der regulären Facebook-Seite griff. Bei den beiden Testseiten beta.facebook.com und mbasic.beta.facebook.com konnte er hingegen so lange Zahlenkombinationen eingeben, bis ihm der Einbruch gelang und er ein neues Passwort für das getestete Profil erstellen konnte.

Facebook reagierte prompt: Die Sicherheitslücke war bereits am nächsten Tag geschlossen - und Fehlerjäger Prakash war 15.000 US-Dollar reicher.

Redaktion finanzen.net