脸书再出包！数百万用户密码以明文储存长达7年

资安部落格Krebs On Security引述消息人士报导，脸书数百万用户账号密码早从2012年起就以明文储存，且至少有数千名员工已经搜寻过，但脸书表示没有证据显示这些密码遭到存取。

这也获得脸书证实。脸书是在今年一月进行内部调查时，发现大批密码以明文储存在脸书内部资料储存系统。脸书原本透过杂凑及加盐，包括使用scrypt算法及加密金钥来隐藏用户密码。Krebs On Security引述消息人士指出，因为“一连串的安全行为失当”，让某些员工撰写了可纪录用户未经加密处理的密码、且让这些资料且以明文格式储存。

有“数亿Facebook Lite用户、数千万脸书用户及数万IG用户”受到影响。脸书声称该公司一发现上述情形已修补问题。脸书也认为这批资料外人都看不到，迄今也没有证据显示内部有人滥用或不当存取，不过为以防万一脸书仍将会通知所有受影响的用户。

消息人士透露，脸书粗估有2亿到6亿笔脸书用户的密码以明文储存，有权限搜寻的脸书员工超过2万名。初步调查显示，确有2000名左右的脸书工程师或开发人员已经对包含这些密码的资料做过查询，且次数将近900万次。虽然还未确定曝光的密码总数及曝光时间，但现阶段得知曝光密码最早可追溯到2012 年。

Krebs On Security引述脸书工程师Scott Renfro回应指出，公司计划通知受影响的脸书用户，但不需要重设密码。他并表示，员工撰写的app是不小心纪录到用户密码，没有明确风险。

此事可能再让脸书资安问题浮上台面。历经去年的多次大规模资料外泄，已重创脸书形象，脸书首席执行官祖克柏（Mark Zuckerberg）今年发表宣言，昭告未来脸书将建构以隐私、加密及资料安全为中心的通讯平台为宗旨。然而之后的事件仍然让人质疑它的决心，包括它打算整合Facebook Messenger、WhatsApp、IG为共通传讯平台，引发个资隐私疑虑。本月又有研究人员发现，脸书要用户输入作用双因素验证（2 Factor Authentication，2FA）的电话号码，反而可让其他人搜寻到，而且这项功能想关也关不掉。