Facebook明文密碼事件是怎么回事？

據外媒krebsonsecurity報道，約有 6 億Facebook用戶可能將其密碼以純文本形式存儲，并且可以被數千名Facebook員工搜索到，Facebook表示目前正在進行的調查，并沒有發現職員濫用這些數據的跡象。

Facebook正在探討一系列安全問題，其中員工構建了為Facebook用戶記錄未加密密碼數據的應用程序，并將其以純文本形式存儲在公司內部服務器上，據Facebook一位熟悉調查并且不愿透露姓名的高級Facebook員工說，這是因為他們沒有被允許與媒體對話。

Facebook消息人士表示，迄今為止的調查顯示，有 2 億到 6 億Facebook用戶可能已將其帳戶密碼以純文本形式存儲，并可由超過20000 名Facebook員工可以進行搜索，消息人士稱Facebook仍在試圖確定暴露了多少密碼以及曝光時間，但到目前為止，該調查還發現了最早可追溯到 2012 年的純文本用戶密碼存檔。

Facebook內部人士表示，根據訪問日志顯示，大約2000 名工程師或開發人員對包含純文本用戶密碼的數據元素進行了大約 900 萬次內部查詢。

在接受KrebsOnSecurity采訪時，Facebook軟件工程師Scott Renfro提醒受影響的Facebook用戶，不需要重置密碼。

“到目前為止，我們還沒有發現任何有人故意查找密碼，也沒有發現濫用這些數據的跡象，”Renfro說。 “在這種情況下，我們發現這些密碼是無意中記錄的，并沒有實際的風險。

Facebook在一篇博文中證實了這一報道。Facebook股價周四下跌不到1％。負責管理歐盟通用數據保護條例（GDPR）的愛爾蘭數據保護委員會周四也表示，Facebook已經就此問題達成了一致：“我們目前正在尋求進一步的信息，”該委員會在一份聲明中表示。

6億用戶占Facebook擁有27億人口用戶的重要部分。該公司周四表示，它計劃開始通知受影響的人，以便他們可以更改密碼。

“作為1月份例行安全審查的一部分，我們發現一些用戶密碼以可讀格式存儲在我們的內部數據存儲系統中，”Facebook在一份聲明中說。“這引起了我們的注意，因為我們的登錄系統旨在使用使其不可讀的技術來掩蓋密碼。我們已經解決了這些問題，并且作為預防措施，我們將通知我們找到的密碼以這種方式存儲的每個人。”

Facebook的博客文章沒有說明有多少用戶受到影響。

據報道，這些事件可追溯到2012年。Krebs援引一位名叫Scott Renfro的Facebook軟件工程師的話說，該公司沒有發現任何有關數據被濫用的情況，并且“沒有實際存在的風險”。

然而，由于多年的隱私和安全丑聞，Facebook一直受到嚴密的審查，這些丑聞使公司受到客戶的批評，以及來自多個監管機構（尤其是歐盟）的查詢和罰款。

但Facebook的丑聞并沒有顯著削弱該公司的活躍日常用戶數量，盡管Facebook評論家鼓勵有隱私意識的客戶刪除他們的賬戶，但上個季度的社交媒體活動有所增加。

審查來自全球監管機構

毫無疑問，這一事件將觸發GDPR下的審查，該審查只允許72小時的通知窗口受到隱私泄露影響，并要求公司安全地存儲密碼。關于如何精確定義“適當的安全級別”，法律有些含糊不清，但委員會可能會考慮內部存儲的純文本密碼，并且大量員工可以訪問這些密碼以滿足這些標準。

如果事件確實延伸到2012年，該公司可能還需要對這些密碼如何被濫用進行大量調查。盡管Facebook在其博客文章中表示他們“迄今沒有發現任何內部濫用或不正當訪問它們的證據”，但該公司很難確定具有內部訪問權限的人是否或如何能夠濫用密碼在公司外面。