Facebook、数億人分のユーザーパスワードを数年間可読状態で保存と発表

米Facebookは3月21日（現地時間）、Facebook、Instagram、Facebook Liteの数億人分のパスワードが可読な状態で社内に保存されていることに1月に気づき、修正したと発表した。該当するユーザーには予防策として、これから通知するとしている。 Facebookがこれを発表したのは、米セキュリティ情報サイトKrebs on SecurityがFacebookの匿名の幹部からの情報として2億～6億人のパスワードが既読状態で保存されていたことを報じた直後だった。 Krebs on Securityによると、パスワードのプレーンテキストでの保存は2012年から始まっており、2万人以上の従業員が検索できたという。アクセスログでは約2000人がプレーンテキストのパスワードを含むデータに、約900万回のクエリを実行していた。 FacebookはKrebsに対し、1月にセキュリティ

[ockeghem]

取材等に『パスワードを平文で保存しているウェブサービスはかなりの数に上るだろう』と答えてきましたが、大物がいましたなぁ

[eru01]

前から疑問なのは、なんでGAAと同列にこいつが並べられてんのか

[tmdtky]

奴はGAFAの中でも最弱… GAFAの面汚しよ

[programmablekinoko]

さすがDone is better than perfectを地で行ってるナ / やっぱ平文保存されてる疑いを持つと、サービスごとに違うパスワード割り振るしかないよなあ

[tsutsumi154]

元々が下種なサービスが源流なだけに何かを期待するのは間違いだろう

[MtAsuka]

「これまでのところ不正の証拠はない」なんてどうでもいい弁明じゃなくて、なぜ平文で保存していたのか、具体的にどんな職務の人がアクセス可能だったのかなどセキュリティリスクを判断できる情報を出して欲しい。

[riawiththesam]

まぁFBだしな…

[l83DK]

2012-3年前後より前から始まってるサービスに登録したことがある人はパスワードが平文で保存されてることを基本疑ったほうがよい

[bb_river]

「あのFacebookが」というコメントがないあたりが信用のなさを表している

[RabbitBit]

Evil.

[deep_one]

「2億～6億人のパスワードが既読状態で保存」既読（笑）可読だな。

[apipix]

ひーふー

[yasushiito]

こういう時にユーザが対抗する手段はないのでどうしましょう?退会するわけにはいかないんでしょ

[koriym]

Get "shit" done!

[light940]

Facebookでさえパスワードを平文で保存していたのか。。

[abracadabra321]

分かりにくい書き方してるが、元の設計時点で平文登録仕様だったということだろ。糞企業すぎる。

[ptpadan]

どういう目的でハッシュ化しない仕様変更があったんだろう？

[ooblog]

#Facebook #Instagram 「パスワードが誤ってプレーンテキスト~2万人以上の従業員が検索できた~アクセスログでは約2000人」インスタ買収タイミングで何かミスった説。

[hedachi]

2012年に廃止したじゃなくて始まったってどういうことだよw

[yug1224]

クエリ実行して何やってたんかな？

[daybeforeyesterday]

うーむ

[agektmr]

ID連携できる貴重なサービスのひとつとして多くのサービスに利用されてきて、セキュリティ上も信頼できるものだと思いこんでいたけど、間違いでしたね。ここからの信頼回復はもう難しいのでは。

[qtamaki]

プレーンテキスト

[tick2tack]

Facebookですらこういうことやっちゃうことがあるという事例として。

[shozzy]

邪悪を通り越してマヌケではないか。あまりにもひどい。

[Dragoonriders]

💩

[qinmu]

これはすごい。

[namelaw]

おいおいオープンなのは公開プロフィールまでにしとけよ

[kesyomota]

twitterと同じパターン？

[kniphofia]

ナニヲイッテルノカ

[orenonihongogayabai]

宅ファイル便はFacebookと同等のセキュリティ対策を施してたのか…

[pandaporn]

宅ふぇいす便

[esper]

ほえー

[lm0x]

そもそもFBをもう使いたくないんだが、こうカミングアウトして戻ってこさせる魂胆だろとまで思ってしまう

[you1]

アクセスログにpostデータも残ってて、社員は見れたって話かな？postデータってどこまで残すもんなんだろ。

[htnmiki]

あかんな……

[segi0]

技術的、金銭的ハードルはないわけで、この手の仕事が評価されない会社風土だということだよね

[gurinekosan]

「二段階認証は有効な手段だ」違うそうじゃない。携帯電話番号を預けるのは被害拡大だろ。Facebookにしか使わないメアドで隔離すべきだろ。

[m_nagase]

個人情報を晒すためのサービスだものパスワードだって晒すさ

[scipio1031]

スマホ・PCのインカメラも塞いだ方がいいよ！詳しくは映画「スノーデン」にて。