SMS-Spammer können mit Facebook lohnenswerte Profile generieren

Das Social Network Facebook ermöglicht es, zu Telefonnummern einen großen Schatz an zusätzlichen Daten über deren Besitzer auszuspionieren. Diese Möglichkeit kann im besten Fall einen Ausgangspunkt für gezielte Spam-Wellen auf Mobiltelefon-Nutzer darstellen.
Datenabgriff selbst unterbinden
Bei der Schwachstelle handelt es sich eigentlich nicht um eine echte Sicherheitslücke, sondern um ein Problem bei der Datenschutz-Architektur der Plattform. Denn die Facebook-Suche ermöglicht es nicht nur, nach bestimmten Namen zu suchen, sondern beispielsweise auch nach Telefonnummern. Da sich diese aber leicht generieren lassen, können Spammer Facebook im Grunde nutzen, um die Nummern zu verifizieren und in großem Umfang weitergehende Informationen zu deren Besitzern herauszufinden.

Auf das Problem hat Reza Moaiandin vom Marketing-Unternehmen Salt hingewiesen. Dieser hatte die entsprechende Suchmöglichkeit in der Facebook-API gefunden und ein Skript entwickelt, mit dem die Option missbraucht werden kann. Dieses generierte beispielsweise nach den bekannten Mustern alle möglichen Telefonnummern eines Landes und warf diese automatisiert in die Facebook-Suche.

Wenn diese einen Fehler zurückgab, wurde die Nummer verworfen. Für alle anderen wurden die ebenfalls zugänglichen Profildaten gespeichert. So ist es letztlich einfach, zu einem großen Bestand verifizierter Rufnummern zu kommen, zu dem auch noch viele Informationen wie etwa der Name, das Alter und die Interessen der jeweiligen Person mitgeliefert werden. Spam-Kampagnen, die beispielsweise per SMS oder WhatsApp verschickt werden, können so gut personalisiert werden.

Moaiandin hat nach eigenen Angaben Facebook bereits vor einiger Zeit über das Problem informiert. Das Unternehmen sieht hier aber kein Problem und gab lediglich an, die Möglichkeiten des automatisierten Datenabrufs über das API zu beschränken. Trotzdem soll das Skript weiterhin gut funktioniert haben. Nutzer können sich am besten dadurch schützen, indem sie selbst die Datenschutz-Einstellungen anpassen. Bei der Fragestellung "Wer kann mithilfe der von dir zur Verfügung gestellten Telefonnummer nach dir suchen?" sollte dafür die Standard-Einstellung "Alle" auf "Freunde" geändert werden.