Messenger obsahoval vážnou chybu: Přátelé vás mohli špehovat

Vaši přátelé, kteří vám volali přes Messenger vás mohli slyšet ještě předtím, než jste jejich hovor přijali či dokonce odmítli. Umožňovala to vážná chyba, kterou společnost Facebook nedávno opravila.

Problém objevila členka iniciativy Project Zero Natalie Silvanovichová ve verzi aplikace 284.0.0.16.119 pro operační systém Android. Zveřejnila dokonce i funkční demonstraci naprogramovanou v jazyku Python. Facebook po nahlášení chybu opravil a odměnil Silvanovichovou sumou 60 tisíc dolarů. Uživatelé s aktualizovaným Messengerem se tak již této chyby nemusí obávat. Silvanovichová slíbila, že celou sumu daruje na charitu. Facebook na to reagoval tím, že se rozhodl darovat na stejnou charitu dalších 60 tisíc dolarů.

Šlo sice o kritickou chybu, je však velmi nepravděpodobné, že by ji hackeři ve větší míře zneužívali. Zaprvé totiž bylo potřebné, aby měla oběť útočníka ve svém seznamu přátel. V opačném případě totiž Facebook nedovoluje uživatelům hovory přes Messenger.

Další podmínkou bylo, aby si hacker dokázal upravit svůj nainstalovaný Messenger. Jak už totiž popsal Facebook ve svém hlášení, celý koncept spočíval v tom, že hacker musel uměle vygenerovat zprávu o přijetí hovoru druhou stranou.

Klasicky je tato zpráva odeslaná až v momentě, kdy příjemce klikne na tlačítko přijmout hovor. Aplikace na jeho podnět povolí hlasový přenos a obě strany se tak mohou navzájem slyšet. Díky chybě však mohl hacker svou aplikaci upravit a doručit falešnou zprávu o přijetí hovoru.

Hacknutý Messenger tak začal přehrávat zvuk z mikrofonu příjemce již během vyzvánění hovoru. Útočník tak mohl příjemce odposlouchávat bez jeho vědomí jen krátký čas, dokud hovor neodmítl nebo ho Messenger automaticky nepřerušil.

Zatímco hacker se musel spoléhat na Messenger pro Android, útok fungoval i v případě, že oběť byla do Messengeru přihlášená na jiné platformě.

Facebook po objevení chyby upřesnil, že kromě Messengeru ji opravil i v jiných aplikacích využívajících při hovorech stejný protokol. Jejich názvy sice neprozradil, dá se však předpokládat, že jde o Instagram a možná i WhatsApp. Tyto tři aplikace totiž Facebook plánuje propojit a sloučit.