به گفته‌ی وب‌گاه فناوری Comaritech یک پایگاه داده‌ی Elasticsearch محافظت‌نشده کشف شده است که از طریق اینترنت قابل دسترسی است و اطلاعات بیش از ۲۶۷ میلیون کاربر فیس‌بوک را ذخیره می‌کند. این پایگاه داده که با کمک یک پژوهش‌گر امنیتی به نام Bob Diachenko کشف شد، حاوی شناسه، شماره تلفن، نام و همه‌ی اطلاعاتی بود که توسط هرکسی و بدون گذرواژه یا هیچ احراز هویت دیگری قابل دسترسی است.
Comaritech بیان می‌کند که این داده‌ها احتمالاً برای پویش‌های اسپم پیام کوتاه یا فیشینگ در مقیاس بزرگ و سایر عملیات‌های خرابکارانه مورد بهره‌برداری قرار می‌گیرند. به ارائه‌دهنده‌ی خدمات اینترنت (ISP) که آدرس‌های آی‌پی سرورهایی را مدیریت می‌کند که این پایگاه داده در آن ذخیره شده است، هشدار داده شده و دسترسی به اطلاعات حذف شده است. بااین‌حال، این پایگاه داده حدود دو هفته قبل از آن در معرض خطر قرار گرفته بود و اطلاعات در یک انجمن نفوذگران در دسترس قرار گرفته است.
این پایگاه داده اولین بار در ۴ دسامبر فهرست‌بندی شد و در ۱۲ دسامبر در انجمن نفوذگران پدیدار شد. Diachenko این پایگاه داده را در ۱۴ دسامبر کشف کرد و بلافاصله به ISP هشدار داد. از تاریخ ۱۹ دسامبر این پایگاه داده دیگر در دسترس نیست. شواهد نشان می‌دهد که این داده‌ها به‌عنوان بخشی از یک عملیات غیرقانونی جمع‌آوری شده بودند، اما احتمالاً با سوءاستفاده از واسط برنامه‌نویسی فیس‌بوک توسط مجرمان سایبری در ویتنام جمع‌آوری شده است.
Comaritech تشریح کرد که معمولاً هنگامی که اطلاعات شخصی در معرض خطر قرار می‌گیرد، اقداماتی برای هشدار به صاحب پایگاه داده انجام می‌شود، اما از آن‌جا که معتقدند این اطلاعات به یک سازمان مجرمانه تعلق دارد، Diachenko مستقیماً سراغ ISP رفته است. این پایگاه داده شامل ۲۶۷٬۱۴۰٬۴۳۶ رکورد است که بیشتر اطلاعات مربوط به کاربران مستقر در امریکا هستند. اطلاعات ثبت‌شده که معتبر به نظر می‌رسند شامل شناسه‌ی یکتای فیس‌بوک، شماره تلفن، نام کامل و نشانگر زمانی هستند.
Diachenko بیان می‌کند که ممکن است مجرمان سایبری این داده‌ها را از طریق واسط برنامه‌نویسی توسعه‌دهنده‌ی فیس‌بوک و قبل از محدود شدن دسترسی در سال ۲۰۱۸ میلادی به سرقت برده باشند. همچنین ممکن است این واسط برنامه‌نویسی یک آسیب‌پذیری امنیتی داشته باشد که مهاجمان از آن برای دسترسی به اطلاعات حتی در صورت محدود بودن دسترسی سوءاستفاده کرده باشند.
فیس‌بوک در ماه نوامبر اعلام کرد که ۱۰۰ توسعه‌دهنده‌ی برنامه‌ی شخص ثالث حتی پس از محدود شدن دسترسی به اطلاعات، از طریق Group API به اطلاعات کاربر دسترسی دارند. Comaritech بیان می‌کند که این داده‌ها احتمالاً بااستفاده از ابزارهای خودکار از پروفایل‌های قابل مشاهده‌ی عمومی فیس‌بوک جمع‌آوری شده‌اند.
پایگاه داده‌ای به این بزرگی احتمالاً برای عملیات فیشینگ و اسپم به‌ویژه از طریق پیام کوتاه مورد استفاده قرار می‌گیرد. کاربران فیس‌بوک باید در جستجوی پیام‌های متنی مشکوک باشند. حتی درصورتی‌که فرستنده نام کاربر یا برخی اطلاعات مهم درباره‌ی کاربر را بداند، باید نسبت به پیام‌های ناخواسته مشکوک باشد. سخن‌گوی فیس‌بوک اعلام کرد که درحال بررسی این مسأله هستند، اما معتقدند که احتمالاً این اطلاعات قبل از اعمال تغییرات مربوط به بهبود محافظت از اطلاعات اشخاص در چند سال گذشته، جمع‌آوری شده است.
