O Facebook anunciou na sexta-feira que sua equipe de engenharia descobriu um problema de segurança que afeta quase 50 milhões de contas. Devido a uma falha no código do Facebook, os hackers conseguiram assumir o controle de uma conta e usá-la da mesma forma que você faria se tivesse acessado a conta com uma senha.

A empresa diz que agora corrigiu o problema em seu código e redefiniu os tokens de acesso para essas contas - junto com 40 milhões de outras contas que eram vulneráveis ​​à falha. Se você se descobriu desconectado de sua conta do Facebook na semana passada, é provável que você tenha sido afetado.

Além disso, pouco se sabe sobre a extensão da violação de segurança. Em sua atualização de segurança, O Facebook disse:"Como apenas começamos nossa investigação, ainda precisamos determinar se essas contas foram usadas indevidamente ou se alguma informação foi acessada. Também não sabemos quem está por trás desses ataques ou onde eles estão baseados. "

O que significa

Esta não é a pior violação de dados até hoje. Esse prêmio pertence ao departamento de crédito Equifax, que teve dados pessoais roubados das contas de 147 milhões de pessoas. Mas, infelizmente para o Facebook, há vários efeitos de fluxo do hack recente.

Primeiro, a violação pode entrar em conflito com o Regulamento Geral de Proteção de Dados da União Europeia (GDPR), que foi introduzido em maio. Embora o GDPR se aplique apenas a cidadãos europeus, as penalidades por violações de dados são severas - até 4% do faturamento global por violação.

Segundo, quaisquer contas em outras plataformas que usam verificação do Facebook também estão em risco. Isso porque agora é uma prática comum usar uma conta como verificação automática para se conectar a outras plataformas, por exemplo, usando uma conta do Facebook para fazer login em outra plataforma de mídia social, como o Twitter, Spotify ou Instagram. Isso é conhecido como logon único (SSO).

Como funciona o logon único

Se você se conectar a qualquer sistema, você precisa de alguma forma de autenticação - geralmente uma credencial de login, como um par de nome de usuário e senha. Quando você tem muitos sistemas diferentes que exigem credenciais antes de serem usados, de repente, você se depara com a lembrança de dez senhas diferentes (de preferência muito longas).

Algumas pessoas podem fazer isso, mas muitos não podem. E ainda queremos que os sistemas sejam seguros. Se pudéssemos nos conectar a um sistema que fosse confiável para os outros, e usar a senha do sistema confiável, então não precisaríamos de dez senhas - apenas uma. Esse é o princípio por trás do SSO.

Mas isso só funciona enquanto o sistema confiável estiver seguro. Se não for, um cibercriminoso pode usar a conta hackeada em uma plataforma (neste caso, Facebook), para acessar qualquer outra plataforma conectada.

O que você deveria fazer

A autenticação geralmente funciona devido a um dos três fatores:

• algo que você sabe, como uma senha
• algo que você tem, como um cartão de acesso
• algo que você é, como uma impressão digital.

Claramente, usar mais de um fator aumenta a segurança. Em sua conta do Facebook, você pode escolher usar a autenticação de dois fatores. Isso significa que você precisará inserir sua senha e um código enviado a você por meio de uma mensagem SMS na próxima vez que fizer login.

O futuro da verificação

Sempre existe uma tensão entre usabilidade e segurança. As pessoas querem que os sistemas sejam seguros para que suas identidades não sejam roubadas, e também desejam que os mesmos sistemas sejam facilmente acessíveis. SSO é uma tentativa de equilibrar usabilidade e segurança, mas o hack do Facebook revela suas limitações.

Muitas pessoas não gostam de senhas, então eles escolhem facilmente lembrados, e, portanto, facilmente quebrável, senhas. Os cibercriminosos têm acesso a listas de milhões de senhas comuns (dica:"Gandalf" não é tão único quanto você pode imaginar).

Tokens de acesso, como cartões ou outros dispositivos físicos (como usados ​​por alguns bancos, por exemplo) são uma solução - contanto que você não os perca. Pode ser que o uso de um atributo físico exclusivo seja o melhor caminho a seguir. Afinal, voce sempre carrega sua impressao digital, íris ou voz com você.

Este artigo foi republicado de The Conversation sob uma licença Creative Commons. Leia o artigo original.