Facebook security érdekesség

Valószínűleg elvesztettem egy régóta nem használt facebook accountomat.

Emailt kaptam ma, hogy valaki jelszó emlékeztetőt kért. Kétszer. A második email után rögtön egy harmadik email jött, hogy a jelszót valaki megváltoztatta Budapest környékén. Ha nem én voltam, jelezzem.

Ez egy olyan facebook account, amit kb. 15 éve játékra használtam és azóta semmire. Nincs benne valós személyes információ és a neve sem a valódi nevem. Valamint valódi ismerőseim sincsenek a barátok között.

Arra gondoltam, nem lehetetlen, hogy phishing email, szóval nem klikkeltem rá a linkre (hogy jelezzem), hanem egy másik böngészőből megnyitottam a facebookot, és megpróbáltam bejelentkezni. A jelszó manageremből bemásoltam a rövid és nem szörnyen bonyolult régi jelszót (6 karakter, random betűk és számok, gondolom brute force-szal nem tarthat túl sokáig a feltörése). És kiderült, hogy valós volt a figyelmeztetés. A facebook arról értesített, hogy ez egy régi jelszó, néhány órája valaki megváltoztatta a jelszavamat.

Felajánlotta, hogy megváltoztathatom egy új jelszóra. Ehhez küldött emailben kódot. Megpróbáltam, azt állította, hogy sikeres volt, de a változtatás után azt mondta, hogy akkor most ellenőrizzük, hogy én vagyok-e én. 2FA kódot adjam meg. Ha valaha volt is, a mostani telefonomon nincs már (de simán lehet, hogy a hacker állította be a jelszó változtatás után). Lehetett emailt is kérni, de azt nem a korábban a figyelmeztetésekhez és a bejelentkezéshez használt email címre küldte, hanem egy másik gmail-es címre, ami valószínűleg nem az én email címem (nem mutatja a teljes email címet, de amit láttam, annak alapján nem hiszem). Ha jól emlékszem, felajánlotta, hogy ha ezek egyike se menne, akkor másik eszközről, ahol be vagyok jelentkezve, jóváhagyhatom. Nincs olyan eszköz, ahol be lennék jelentkezve ezzel az accounttal. Azt mondta, hogy akkor beküldhetem az igazolványomat. Ezt persze nem választottam, hiszen nem arra a névre szól.

Megnéztem, hogy mit csinál, ha kiválasztom, hogy jelezném, hogy nem én változtattam meg a jelszavam. Azt írta, hogy OK, akkor most megváltoztathatom, de csak olyan böngészőből, ahonnan korábban bejelentkeztem. Megnéztem a telefonomon, régi laptopon, egyiken se jelentkeztem be. Felajánlotta, hogy SMS-ben is tud küldeni kódot. Azt nem mondta, hogy melyik telefonszámra, de mivel telefonszámot változtattam kb. 2,5 éve, és azóta valószínű nem léptem be ebbe az accountba, még ha nem is a hacker telefonszáma van beállítva most már, akkor se kapom meg a kódot.

OK, nem érdekel túlságosan ez az account, bár azt nem tudom, miért akarta volna valaki feltörni / ellopni.

Viszont ebből tanulva, gyorsan megnéztem a valóban használt accountomat. Egyfelől nem volt eddig 2FA, így azt most beállítottam. Másfelől nem látom, hol van telefonszám vagy értesítési email cím beállítva, szóval így hirtelen nem tudom, hogy ha mondjuk egy hacker az igazi accountom felett venné át az irányítást, akkor hová küldené a FB a megerősítő emailt és az SMS-t. (Mondjuk persze a valódi account esetén ezek kevésbé számítanak, mert van olyan eszköz, ahonnan korábban bejelentkeztem, és van olyan igazolványom, ami ugyanarra a névre szól).

Amit viszont nem értek (és nyugodtan írjátok meg, ha tudjátok a választ): ha tőlem ennyi mindent kért egy jelszó csere után, hogyan tudta a hacker (tegyük fel, hogy kitalálta a rövid jelszót) meggyőzni a facebookot, hogy engedje tovább odáig, hogy beállítson 2FA-t és új email címet? Bizonyára nem volt a birtokában olyan eszköz, amivel már ő vagy én belépett korábban. Nem lehetett nála olyan eszköz, aminek a telefonszámára SMS-t küldött a Face, mert a korábban beállított telefonszámjaimhoz nem tartozik már előfizetés, még csere sim kártyát se lehet hozzájuk igényelni. A rendes email címemre jött ugye az a két kód, ami nem tudom, hogy a változtatási kérelem előtt vagy után érkezik, de arra mennyi az esély, hogy a gmail fiókomba be tud lépni és a kódot elolvassa?