Хакер #305. Многошаговые SQL-инъекции
Компания Facebook подала иск против гражданина Украины Александра Солонченко, так как он собрал данные 178 миллионов пользователей Facebook при помощи скрапинга, а затем выставил эту информацию на продажу на хакерском форуме.
Согласно судебным документам, Солонченко злоупотреблял функцией Contact Importer в Facebook Messenger. Раньше эта функция позволяла пользователям синхронизировать адресные книги своих телефонов и видеть, какие контакты имеют учетную запись Facebook (таким образом пользователи могли связаться со своими друзьями через Facebook Messenger).
По данным Facebook, с января 2018 года по сентябрь 2019 года Солонченко использовал некий автоматизированный инструмент, позволяющий имитировать Android-устройства, и засыпал серверы Facebook миллионами случайных телефонных номеров. Поскольку серверы компании в ответ сообщали, для каких номеров телефонов на сайте существует учетная запись, Солонченко собрал огромный массив данных, который 1 декабря 2020 года выставил на продажу на известном хак-форуме RaidForums.
На форуме Солонченко использовал псевдоним Solomame (позже barak_obama ), и продавал данные сотен миллионов пользователей разных компаний.
«С 2020 года Солонченко продавал украденные или извлеченные с помощью скрапинга данные крупнейшего коммерческого банка Украины, крупнейшей частной службы доставки в Украине, а также французской компании по анализу данных », — заявляет Facebook в судебных документах.
Эксперты социальной сети сумели связать Солонченко с пользователем Solomame после того, как тот использовал такой же никнейм и оставил те же контакты для связи на нескольких порталах для поиска работы.
«Солонченко работал программистом-фрилансером и [писал, что] имеет опыт работы с несколькими языками программирования, включая Python, PHP, а также Xrumer (программное обеспечение, используемое для рассылки спама), автоматизацией задач на эмуляторах Android и в области проведения партнерского маркетинга, — говорится в заявлении Facebook. — Примерно до июня 2019 года Солонченко также продавал обувь в интернете под торговой маркой Drop Top».
Теперь социальная сеть просит судью подписать судебный запрет, запрещающий Солонченко доступ к сайтам и другим продуктам Facebook и дальнейшую продажу собранных с помощью скрапинга данных. Социальная сеть также добивается возмещения ущерба, хотя пока неясно о каких суммах идет речь.
Стоит заметить, что весной текущего года другой человек выставил на продажу данные 533 млн пользователей Facebook, тоже собранные аналогичным способом. Тогда представители Facebook сообщили, что отключил функцию Contact Importer еще в сентябре 2019 года, когда обнаружили, что ею злоупотребляют злоумышленники.
