Facebook-Leak: So könnten die Daten abhanden gekommen sein

Im Untergrund kursiert ein neues Leak mit über 500 Millionen Facebook-Datensätzen. Facebook bestreitet, dass es sich um einen Einbruch handelt und spricht von "Scraping", also dem massenhaften Einsammeln öffentlich einsehbarer Daten. Dem widerspricht, dass die Datensätze unter anderem Telefonnummern enthalten, die für Dritte eigentlich nicht einsehbar sein sollten. Wir haben eine Theorie, wie das zusammen passt.

Demnach haben die Angreifer sich Adressbücher gebaut, die alle Telefonnummern eines Landes enthalten. Damit das nicht ausufert, hat er oder sie bekannte Rufnummern der jeweiligen Mobilfunkprovider wie Telekom analysiert, um Regeln für deren jeweilige Nummernbereiche zu erstellen. Das ergibt dann etwas wie:

0170 + [1-9] + sechs beliebige Ziffern

Vielleicht stellt man dabei auch fest, dass etwa die erste Ziffer (so gut wie) nie eine 5 oder 7 ist und kann den Bereich weiter einschränken. Dann meldet sich die Person bei Facebook an und lädt ihr Adressbuch dort hoch. Das freundliche soziale Netz schlägt automatisch alle Mitglieder als "Freunde" vor, die bereits bei Facebook angemeldet sind und eine Telefonnummer aus dem Adressbuch hinterlegt haben. "Schließlich kennt man sich ja offenbar bereits", ist die Idee dahinter.

So muss der Scraper nur noch den jeweiligen Links folgen und die dort öffentlich bereitgestellten Informationen einsammeln. Dabei stellt er zum Beispiel fest, dass eine dieser automatisch erstellten Nummern zu Mark Zuckerbergs Facebook-Profil führt – und andere finden damit heraus, dass der Facebook-Chef offenbar auch Signal benutzt ;).

Für Dritte per Telefonnummer auffindbar

Wie gesagt: Das ist bislang nur eine unbestätigte Theorie. Aber sie passt recht gut zu den bekannten Fakten. So funktioniert das nur, wenn man bei Facebook nicht abgeschaltet hat, dass man für Dritte über die Telefonnummer auffindbar ist (was wohl die wenigsten gemacht haben). Und es erklärt, warum die Leaks nach Ländern sortiert sind. Ein einzelnes Adressbuch mit allen Telefonnummern der Welt wäre wohl zu sperrig gewesen.

Das Grundproblem ist, dass es nicht ausreichend viele Telefonnummern gibt, als dass man sie nicht durchprobieren könnte. Das dürfte an vielen Stellen für mögliche Security- und Privacy-Probleme sorgen. Betroffene des Facebook-Leaks müssen nun vielfach Spam-SMS ertragen. Mittlerweile will Facebook das ausgenutzte Datenleck gestopft haben. Sie sagen allerdings nicht, wie. Dabei wäre es eine wichtige Information. Denn auf ähnlichem Weg könnte man ziemlich sicher auch persönliche Daten bei anderen sozialen Netzen erbeuten – wie etwa bei Linkedin.

(ju)