Wie es heißt, sei man über eine missbräuchlich verwendete Programmierschnittstelle (API) des Meta-Konzerns an die sensiblen Daten gelangt. Laut dem Beitrag eines anonymen Nutzers wurden die Informationen inzwischen auf einem bekannten Leak-Forum im Darknet veröffentlicht. Die Täter gaben an, es handle sich um neues Material, das nicht aus früheren Sicherheitslücken stamme.

Zu den veröffentlichten Daten gehören laut „Cybernews“ unter anderem Namen, E-Mail-Adressen, Telefonnummern, Geschlechtsangaben, Geburtsdaten, Standortdaten sowie Facebook-User-IDs. Die Redaktion der Plattform hat nach eigenen Angaben eine Stichprobe von 100.000 Profilen überprüft und die Echtheit der enthaltenen Informationen bestätigt.

Die Attacke offenbare aus Sicht von „Cybernews“ grundlegende Schwächen in den Schutzmechanismen der Plattform. Solche API-Schnittstellen, ursprünglich zur technischen Vernetzung und Funktionserweiterung gedacht, würden zunehmend von Cyberkriminellen zur Massenabschöpfung personenbezogener Daten missbraucht.

Der Mutterkonzern Meta sieht sich vor diesem Hintergrund erneut mit Fragen zur Integrität seiner Datenschutzpraktiken konfrontiert. Die Experten von „Cybernews“ sehen in den wiederholten Vorfällen ein „Muster reaktiver statt proaktiver Sicherheitsmaßnahmen“, insbesondere im Hinblick auf öffentlich einsehbare, jedoch sensible Daten. Ein Mangel an Transparenz und stärkeren Schutzmechanismen gefährde demnach das Vertrauen der Nutzer und berge Risiken wie Phishing, Betrug, Identitätsdiebstahl oder langfristige Verletzungen der Privatsphäre.

Wie aus dem Bericht weiter hervorgeht, könnten kriminelle Akteure durch die Kombination aus großem Datenvolumen und Facebook-Bezug ihre Angriffe leicht automatisieren. E-Mail-Adressen aus dem Leak ließen sich etwa gezielt für Phishing-Kampagnen im Kontext der Plattform nutzen.

Schon 2021 waren Informationen von mehr als 500 Millionen Facebook-Nutzern öffentlich gemacht worden, woraufhin die irische Datenschutzbehörde, die Data Protection Commission (DPC), gegen Meta eine Geldstrafe in Höhe von 265 Millionen Euro verhängte. Auch 2023 räumte das Unternehmen ein, öffentlich zugängliche Daten von Facebook und Instagram für das Training eines eigenen KI-Systems verwendet zu haben.

Auf Anfrage von „Cybernews“ hat Meta das Datenleck nicht ausdrücklich bestritten, sondern lediglich auf einen bereits vier Jahre alten Beitrag mit dem Titel „How we combat scraping“ verwiesen. Eine Sprecherin des Unternehmens erklärte: „Dies ist keine neue Behauptung. Wir haben das bereits vor Jahren offengelegt und seither Maßnahmen ergriffen, um ähnliche Vorfälle zu verhindern.“