Facebook si appresta a comunicare a più di un centinaio di milioni (!) di suoi utenti che in effetti c’è stato un “problemino” su come erano state archiviate le loro password. I numeri in ballo fanno tremare le gambe, ma il colosso californiano assicura che il bug è stato risolto e non vi è stata alcun tipo di violazione.
In pratica a gennaio, durante un controllo di routine interno, i tecnici dell’azienda hanno scoperto che le password di centinaia di milioni di utenti di Facebook Lite, decine di milioni di utenti Facebook e decine di migliaia di utenti Instagram risultavano archiviate in un formato leggibile. I sistemi di accesso avrebbero dovuto mascherarle per l’archiviazione sui server, ma così non è stato.
“Durante il nostro controllo, stavamo guardando ai modi in cui archiviamo altre categorie di informazione - come l’accesso con token - e abbiamo risolto i problemi appena li abbiamo scoperti”, si legge nella nota ufficiale.
“In linea con le best practice di sicurezza, Facebook maschera le password delle persone quando creano un account in modo che nessuno in azienda possa vederle. In termini di sicurezza, effettua hash e salt sulle password, incluso l'uso di una funzione chiamata "scrypt" e una chiave crittografica che ci consente di sostituire in modo irreversibile la tua password effettiva con un set casuale di caratteri”, spiega l’azienda. “Con questa tecnica, possiamo verificare che una persona stia effettuando l'accesso con la password corretta senza dover effettivamente memorizzare la password in testo normale”.
Sebbene nessuna password sia stata esposta esternamente e non siano stati individuati abusi di alcun tipo, Facebook consiglia di:
- Cambiare password nelle impostazioni su Facebook e Instagram, evitando di riutilizzare le stesse su servizi diversi.
- Scegliere password complesse per tutti i tuoi account. Le app di gestione password possono essere d’aiuto.
- Prendere in considerazione l'abilitazione di una chiave di sicurezza o di autenticazione a due fattori utilizzando i codici di un'app di autenticazione di terze parti.