Zugriff auf fremdes Facebook Profil

Sicherheitslücke bei Swisscom entdeckt

Nach dem Login-Versuch zu meinem eigenen Facebook Profil bin ich in dem fremden Profil von "HP Spadin" (mit der eMail-Adresse moneyonlinerb@…..) gelandet. Weil ich es eigentlich kaum glauben konnte, dachte ich mir, da muss ich doch glatt mal ein neues Profilbild hochladen. Und siehe da es klappte, das Affenbild war online. Dann fügte ich gleich noch einen harmlosen Text ein: "Hi, ich habe eben das Profilbild und diesen Text geändert !!!!". Das Spielchen kann man beliebig so weiter treiben:

• Profildaten und Kontakt-Informationen bearbeiten
• Freunde editieren, einladen und akzeptieren
• Fotos hochladen oder löschen
• Nachrichten und Events publizieren

WICHTIG: Dies ist kein Scherz, das ist mir tatsächlich passiert!!!

Ich muss jetzt nur noch dahinter kommen, wie mir das zufällig gelungen ist. Einen Verdacht habe ich schon mal. Zuvor habe ich relativ viel mit anderen Social Media Diensten herum gespielt. Dabei kam natürlich auch Facebook Connect zum Einsatz, um sich anzumelden. Vermutlich passierte es bei einer missglückten Anmeldung bei Digg. Durch dieses Wirrwarr an Anmelde-Informationen landete ich dann irgendwann bei Facebook, um etwas nachzulesen in meinem Facebook Account. Landete aber nicht in meinem persönlichen Facebook Account, sondern in einem fremden Facebook Profil. Das einzige was dabei noch fehlte war das aktuelle Passwort des Inhabers, womit ich das Konto übernehmen könnte. Was bei einem großen Firmen-Account sicherlich lustig wäre.

Vielleicht hilft euch für die Recherche meine technische Ausstattung, ins Internet gelange ich aktuell mit dem Swisscom USB-Stick (Unlimited Data Manager) und Mozilla Firefox V3.6.3. Möglichweise ist die Konstellation so ähnlich, wie in dem AT&T-Fall, wo ein fehlerhaftes Cookie-Handling verantwortlich war, eventuell im Zusammenhang mit der Übertragung einer falschen Session-ID. Was auch für eine Swisscom-Problematik spricht, sowohl ich als auch der andere User befinden sich momentan in der Schweiz.

Natürlich habe ich den Facebook-Profil Inhaber bereits per eMail über meine Änderungen informiert, damit er sein Profilbild wieder korrigieren kann.

Hier habe ich mal einen Screenshot angefertigt als Beweis:

Ein paar Tage später landete ich in dessen "fremden" Google Konto (Inkl. Vollzugriff auf Google Mail, Google Feedburner und Google Webmaster-Tools).