Én olyan levelet kaptam, amiben egyszerre hárman hívnak meg. Persze azonnal ment a kukába a mail.

francba, kimaradtam a jóból

ennyi? a linken keresztül elvehető a jelszó, anélkül, hogy bármit kellene csinálni? mégis hogyan? odaadja a Facebook API valakinek?

tudom, hogy biztonsági résről nem adnak infot, de ez valami akkora pancserság, hogy az ordít. a leírsásból az következtethető, hogy egy adott ponton egy fejlesztő azt mondta, no ha úgyis be van jelentkezve, akkor már adott is jelszót, akkor már nem zargatom azzal, hogy még egyszer bekérem, inkább lököm helyette. de ezt csak úgy lehet, ha plain textben megvan az a jelszó valahol. tehát: a Facebookon megvan a plain text jelszavad valahol!!!!!!!!!!!!

Nekem a napokban a yahoo levelezésemet törték föl és küldtek az összes címjegyzékemben levő embernek egy "we are a wholesaler company in China..." kezdetű levelet.
Nem volt nagy égés. Viszont életemben ennyi régi ismerősöm nem írt nekem egy napon belül :)
Ha legközelebb unatkozom vagy munkát keresek, lehet fake-elek egy ilyen spam-et...

hh: jött tőled is fyi...

Hát ez gáz. A facebookban van a hiba, hogy ezt megtehetik?

Javítsatok ki, ha rosszul gondolom, de nem arról van szó, hogy egyszerűen kapnak egy linket, ami egy lemásolt facebookos oldalra mutat, ahol te magad írod be a felhasználóneved és jelszavadat? Tehát nem csak egy kattintás, hanem egy óvatlan jelszókitöltés kell hozzá. De az ember már olyan automatikusan írja be, hogy lehet hogy oda sem figyel, hogy a címsor kicsit eltér.

Utána ők már be tudnak lépni azzal az accounttal az igazi facebookba. De ez ellen technikailag a fb nem sokat tud tenni, ahogy a bankokat sem törték fel, mikor phishingtámadás érte őket.

nem inkább akkor van gáz, ha a linket meglátoagatva be is jelentekzik a júzer a facebookos címmel-jelszóval? Ha csak úgy magától lenyúlja az adatokat, akkor minek a két kitöltendő mező, meg a lemásolt belépési képernyő?

a sima megtekintés kevés, be is kell lépni.

de azért cseréltem jelszót.

Nem errol van szo veletlenul: www.b i tclan.be ? Ja, ne irjatok bele a jelszot... :) En asszem tegnap kaptam egy ismerostol, hogy nezzem meg, ma mar szol a firefox, hogy hamisitott website van az URL mogott.

Az a fura, hogy facebook logo vagy felirat nincs rajta, az URL-t sem probaltak hasonlora venni, csak a design azonos. Ha meg beirod a jelszot, akkor semmi nem tortenik. Legalabbis, ha rossz, akkor nem, de altalaban a jelszotolvalyok azt csinaljak, hogy az elso beiras utan (ami ugye nalul landol) kozlik, hogy hibas a jelszo es atdobnak az igazi site-ra, ahol meg ujra probalkozva bejutsz.

Szoval nincs ez tulkomplikalva, alapvetoen ennel gyanusabban mar csak ugy lehetne megcsinalni, ha nem is hasonlitana a feszbukra, csak kiirnak, hogy ird be a feszbuk jelszavad. De mint tudjuk az is mukodik, lasd pl. Hi5, network.hu es tarsaik.

@is: > de ez valami akkora pancserság, hogy az ordít.
> a leírsásból az következtethető, hogy egy adott ponton
> egy fejlesztő azt mondta, no ha úgyis be van jelentkezve,
> akkor már adott is jelszót, akkor már nem zargatom azzal,
> hogy még egyszer bekérem, inkább lököm helyette.

Kodosen fogalmaztak, de ez csakk sima phishing, semmi koze a facebook rendszerehez. Amugy sem lok senki senki helyett semmit, mert felesleges. Ha tudjak, hogy be vagy jelentkezve, akkor nem kell jelszo, mert tudjak, hogy be vagy jelentkezve. Ha meg nem tudjak, akkor kell. Azt pedig, hogy be vagy vagy nem vagy be altalaban a szerver oldalon az ugynevezett sessionben taroljak, aminek az azonositojat vagy cookie-ban tarolja a bongeszod vagy minden URL-be belekodolja a szerver.

A cookie meg az URL viszont site fuggo, tehat hiaba csinalok en egy facebook.no-ip.org cimu weboldalt, az ott futtatott jelszohalasz szerverem sosem fogja megkapni a session azonositot (amivel ugye bejuthatnek a facebook szerverre, bar csak addig, amig ki nem lep az adott felhasznalo). Illetve amikor megis sikerul egy trukkel kilopni egy masik fulrol vagy bongeszo ablakbol azt hivjak 'cross site scripting' (vagy XSS) sebezhetosegnek, de az a bongeszo igen-igen sulyos hibaja.

> tehát: a Facebookon megvan a plain text
> jelszavad valahol!!!!!!!!!!!!

:) Na de ha meg is lenne, minek kuldene at a FB egy masik site-ra? Ahhoz, hogy az a (FB appot futtato?) masik site is hasznalni tudja, amugy is kene ott lennie egy masolatnak belole, vagyis akkor az lenne a legkisebb baj, hogy a FB kodolatlanul tarolja a jelszavakat, hiszen lenne a jelszoadatbazisbol (vagy annak egy reszebol) kb. 50000 masolat a vilagon :).

Nekem is kellett cserélni, figyelmetlen voltam és elnyomtam a jelszavamat a szájtra. @hh-tól már kérdeztem a twitteren, de most újra, mert izgat a dolog: nem kell újratelepíteni és a master boot record-ot is átírni?

www.seggbolszajba.com/

Már de nem azért de mit tudnak kezdeni az én facebookos accommal? Törlik azt a két ismerősöm, aki fent van ? :D

@=ALARM=: az még hagyján, de mit tudnak kezdeni az enyémmel? én még regisztrálva sem vagyok :)
már megint lemaradtam egy kis izgalomtól.

@atleta.hu: ok, csak ebből a posztból tájékozódtam, ebben meg így volt leírva. most már olvastam máshol, hogy átdob egy másik oldalra, ahol be kell írni stb. tehát tényleg sima adathalász.

mentségemre szl, hogy a poszt úgy szól, hogy aki kattintott, az már mehet is jelszót cserélni. nem. aki a kattintás után megadott jelszót, na az mehet.

az API funkciói között lehetne olyan, ami engedi, hogy valakinek a profiljába írjál, ha az illető erre felhatalmazott, de a jelszavát nem adta meg. viszont egy ilyen funkció lehetne olyan bénán megírva, hogy közben valahol előkerül a jelszó is. nem egy valószínű eset, magamtól nem is gondoltam volna rá, csak a poszt szüvegezése, ugye. de látom, hogy nem erről van szó.

HA még ismerősök acc-ját szedik el ott még van ráció, barátnőt lebuktatni stb de vadidegenébe mi az érdekes...

Hülyeséget kérdeztem, hogy nem válaszol senki: adathalász miatt újratelepítés és MBT átírás is kell? #webi

egy tinyurl-es link amúgy a szemétláda, de a szolgáltató már törölte a forwardot, ez olvasható:

URL Terminated

The TinyURL (pofb3m) you visited was used by its creator in violation of our terms of use.

Érdekes

@is: En is, de nem kioktatasnak szantam, csak elmondtam, hogy miert nem lenne logikus, hogy ugy legyen. Az is erv lehetett volna mondjuk, hogy mi a hihetobb, hogy a webisztan pontatlan/szenzeciohajhasz vagy az, hogy a FB ilyen alaposan elkur valamit es az raadasul meg csak ki sem derul eddig. Pedig ha ugy lenne, mint ahogy leirtad, arrol sok-sok tizezer fejleszto tudna regota.