Hacker behaupten Abgriff von 1,2 Milliarden Facebook-Datensätzen

Ein riesiger Datensatz mit 1,2 Milliarden Facebook-Nutzerdaten wurde laut Angreifern über eine Programmierschnittstelle (API) abgegriffen. Der Mutterkonzern Meta dementierte den Vorfall zunächst nicht.

Die Datenbank wurde auf einem bekannten Leak-Forum veröffentlicht. Die Angreifer behaupten, es handle sich nicht um eine Sammlung älterer Informationen, sondern um einen komplett neuen Datensatz. Sollte sich das bestätigen, wäre es eines der größten Datenlecks in der Geschichte von Facebook.

Facebooks Mutterkonzern Meta reagierte auf Anfrage von Cybernews mit einem kurzen Hinweis auf einen vier Jahre alten Newsroom-Beitrag mit dem Titel „How we combat scraping“.

„Das ist keine neue Behauptung. Wir haben das bereits vor Jahren veröffentlicht und seither Maßnahmen ergriffen, um ähnliche Vorfälle zu verhindern“, so ein Meta-Sprecher.

Zum Abgleich analysierte die Cybernews-Redaktion eine Stichprobe von 100.000 Facebook-Nutzerdaten, die von den Angreifern veröffentlicht wurden. Auf Grundlage dieser Probe scheinen die Behauptungen glaubwürdig. Es handelt sich jedoch nur um einen Ausschnitt, der vollständige Datensatz konnte nicht überprüft werden.

Laut dem Cybernews-Research-Team enthält die Stichprobe folgende Informationen:

• Nutzer-IDs
• Klarnamen
• Nutzernamen
• E-Mail-Adressen
• Telefonnummern
• Standorte
• Geburtstage
• Geschlecht

Auch wenn die Behauptungen der Angreifer brisant klingen, raten die Experten bei den „1,2 Milliarden Facebook-Datensätzen“ zur Vorsicht. Der Beitrag mit den angeblich gescrapten Daten ist erst die zweite Veröffentlichung der Angreifer.

„Ein früherer Beitrag derselben Gruppe enthielt ebenfalls Daten, die angeblich von Facebook stammen, allerdings in deutlich geringerem Umfang. Es ist möglich, dass sie zunächst einen kleineren Datensatz gepostet und anschließend weitere Informationen gesammelt haben, um auf 1,2 Milliarden Datensätze zu kommen“, so die Einschätzung der Redakteure.

Sollte sich das Datenleck bestätigen, wäre es ein weiterer Fall, bei dem Facebook-Nutzerdaten in großem Stil abgegriffen werden. Das wirft einmal mehr Fragen zur Datenschutzpraxis des Unternehmens auf.

„Wiederholte Vorfälle deuten auf ein Muster hin: Sicherheitsmaßnahmen werden eher reaktiv als proaktiv ergriffen, besonders wenn es um öffentlich sichtbare, aber dennoch sensible Daten geht. Fehlende Schutzmechanismen und mangelnde Transparenz untergraben das Vertrauen und setzen Millionen Nutzer dem Risiko von Phishing, Betrug, Identitätsdiebstahl und langfristigen Datenschutzproblemen aus“, so die Redaktion.

Eine derart umfangreiche Datenbank eröffnet Cyberkriminellen zahlreiche Möglichkeiten. Mit einem Datensatz dieser Größe lassen sich automatisierte Angriffe im großen Stil durchführen, etwa durch Bots, die gezielt jede einzelne Person im Datensatz ins Visier nehmen, ohne großen manuellen Aufwand. Da die E-Mail-Adressen bestimmten Facebook-Nutzern zugeordnet sind, könnten Angreifer sie gezielt durch Facebook-Phishing-Kampagnen attackieren.

API-Schnittstellen geraten immer wieder ins Visier von Hackern. Erst dieses Jahr wurden unter anderem die APIs von Shopify, GoDaddy, Wix und OpenAI angegriffen. Kriminelle Angreifer nutzen solche Methoden unter anderem, um sich Zugang zu Krypto-Wallets zu verschaffen.

„Wiederholte Vorfälle deuten auf ein Muster hin: Sicherheitsmaßnahmen werden eher reaktiv als proaktiv ergriffen, besonders wenn es um öffentlich sichtbare, aber dennoch sensible Daten geht."

erklärte das Research-Team.

Die meisten großen Online-Dienste wären ohne APIs kaum denkbar. Sie ermöglichen die Kommunikation zwischen verschiedenen Systemen. Doch immer wieder gelingt es Angreifern, legitime Schnittstellen für kriminelle Zwecke zu missbrauchen, etwa um personenbezogene Daten abzugreifen.

Facebook-Daten-Scraping ist dabei kein neues Phänomen. Im vergangenen Jahr musste Meta selbst einräumen, öffentliche Daten von Facebook und Instagram zu nutzen, um seinen KI-Assistenten zu trainieren.

Bereits 2021 veröffentlichte ein anderer Angreifer Informationen wie Telefonnummern und Standorte von über 500 Millionen Facebook-Nutzern. Damals hatte die irische Datenschutzbehörde DPC den Meta-Konzern zu einer Strafe von 265 Millionen Euro verdonnert.