Meta Platforms Inc, perusahaan induk Facebook, baru-baru ini menutup kerentanan kritis yang memungkinkan akses tanpa ijin ke akun Facebook oleh hacker. Celah keamanan yang ditemukan oleh seorang peneliti keamanan siber ini ditemukan pada proses pengaturan ulang kata sandi platform.
Kerentanan dalam Proses Pengaturan Ulang Kata Sandi Facebook
Kerentanan ini ditemukan oleh peneliti keamanan siber yang berbasis di Nepal, Samip Aryal, yang berpartisipasi dalam program bug bounty Facebook. Saat ini ia berada di posisi paling atas dalam daftar hacker yang berpartisipasi dalam program pencarian celah keamanan Facebook tersebut.
Kerentanan atau celah keamanan tersebut ditemukan dalam proses pengaturan ulang kata sandi Facebook, khususnya pada opsi di mana kode otorisasi unik enam digit untuk mereset password, dikirim ke perangkat berbeda dari perangkat yang sudah login dan aktif digunakan user. Kode ini digunakan untuk mengonfirmasi identitas user dan menyelesaikan proses pengaturan ulang kata sandi.
Namun, Aryal menemukan bahwa setelah diminta oleh pihak penyerang, kode unik tersebut akan aktif selama kurang lebih dua jam tanpa perlindungan serangan brute force. Kurangnya perlindungan ini membuat proses pengaturan ulang kata sandi rentan terhadap eksploitasi.
Mengeksploitasi Kerentanan
Seorang penyerang dapat mengeksploitasi kerentanan ini cukup dengan mengetahui nama akhir pengguna individu yang ditargetkan, dan menggunakan alat pentesting seperti Burp Suite, untuk melakukan brute-force pada kode enam digit yang diperlukan untuk mereset password. Dengan kode yang benar, penyerang lalu bisa mengatur ulang kata sandi akun yang ditargetkan atau hanya masuk ke akun tersebut, dan mendapatkan kendali penuh atas akun tersebut.
Ketika kerentanan ini dieksploitasi, pengguna yang ditargetkan akan menerima notifikasi dari Facebook. Notifikasi ini secara langsung menunjukkan kode enam digit atau meminta pengguna untuk mengetuk notifikasi untuk melihat kode tersebut. Apabila user memilih opsi kedua, maka ini eksploitasi akan menjadi eksploitasi satu klik (user harus mengklik opsi ini terlebih dahulu), dan bukan eksploitasi tanpa klik.
Pengungkapan dan Perbaikan yang Bertanggung Jawab
Aryal mengungkapkan temuannya kepada Meta pada tanggal 30 Januari, dan perusahaan dengan cepat menutup celah tersebut pada tanggal 2 Februari. Respon yang cepat ini menyoroti pentingnya pengungkapan yang bertanggung jawab dalam menjaga keamanan platform dan melindungi pengguna dari potensi bahaya.
Program Bug Bounty dan Hadiah
Program bug bounty Meta memberi imbalan kepada peneliti keamanan untuk menemukan dan melaporkan celah keamanan di platform mereka. Meskipun Aryal tidak mengungkapkan jumlah bug bounty yang dia terima, kemungkinan besar jumlahnya cukup besar mengingat tingkat keparahan cacatnya. Menurut pedoman pembayaran Meta, eksploitasi pengambilalihan akun dapat menghasilkan peneliti antara $ 5.000 dan $ 130.000, tergantung pada komponen yang terkena dampak dan jumlah klik yang diperlukan untuk mengeksekusi eksploitasi.
Pelajaran yang Dipetik dan Praktik Terbaik
Penemuan kerentanan ini berfungsi sebagai pengingat akan pentingnya langkah-langkah keamanan yang kuat dalam proses pengaturan ulang kata sandi. Platform harus memastikan bahwa fitur keamanan mereka kuat dan terlindungi dengan baik dari potensi serangan.
Pengguna juga harus tetap waspada dan memantau akun mereka untuk aktivitas yang mencurigakan. Memperbarui kata sandi secara teratur, mengaktifkan otentikasi dua faktor, dan berhati-hati terhadap upaya phishing dapat membantu melindungi pengguna dari pengambilalihan akun.
Kesimpulan
Kerentanan pengambilalihan akun Facebook yang ditemukan oleh Samip Aryal menyoroti perjuangan yang terus berlangsung untuk melindungi user dan data mereka. Karena ancaman siber terus berkembang, sangat penting bagi platform dan user untuk tetap berpengetahuan dan proaktif dalam menjaga keamanan online. [Security Week]
