フェイスブックでプライベート画像が見れるセキュリティーホール

不適切な画像を通告するというアクションからメニューを追っていくと、「さらに画像をレポートに追加することにより私達(Facebook)の手伝いをする」というオプションが出る。これクリックするとプライベートな画像が見えるというもの。

ただし、環境によってはできなかったりするらしい。なお、このポストが広がるころにはこの穴は閉じられている可能性が高い。当然、普段のアカウントからこれをやるとFaceBookに睨まれるだろう。

フェイスブックにはプライバシーを保護する文化があまり無いということを裏付ける一件だ。HNのコメントにもあったけど、フロントエンド・アプリが個人データをクエリするAPIに強制アクセス制御が無いということになる。このような「間違い」はプライバシーに無頓着なアーキテクチャが可能にしていると考えるべきだ。

最初にこれを見たときには「セキュリティーホール」じゃなくてセキュリティー無視の「機能」だと思った。疑わしいユーザの個人情報なら密告者にどうぞと見せるぐらいのことぐらいは平気でやるだろうというのが俺のなかでのフェイスブックの認識だ。

しかしセキュリティーホールをブレイクするには変ったサイトだ。ボディービルのサイトだけど、筋肉に関係のない討論も行われる場に発展しているそうな。