Meta: Πρώην μηχανικός υπό έρευνα για κλοπή 30.000 φωτογραφιών χρηστών Facebook

Ένας πρώην μηχανικός της Meta στο Λονδίνο βρίσκεται υπό ποινική έρευνα μετά από κατηγορίες ότι ανέπτυξε ένα πρόγραμμα για την εξαγωγή περίπου 30.000 ιδιωτικών φωτογραφιών από το Facebook.

Τα εσωτερικά συστήματα ασφαλείας της Meta έχουν σχεδιαστεί για να αποτρέπουν μη εξουσιοδοτημένη πρόσβαση μηχανικών και υπαλλήλων στα δεδομένα των χρηστών. Σύμφωνα με την Μητροπολιτική Αστυνομία και το Press Association, δεν το κατάφεραν σε αυτή την περίπτωση. Ένας πρώην μηχανικός της Μeta που ζει στο Λονδίνο, συνελήφθη τον Νοέμβριο του 2025 λόγω υποψίας για μη εξουσιοδοτημένη πρόσβαση σε υλικό υπολογιστή (βάσει του Νόμου για την Κατάχρηση Υπολογιστών).

Έκτοτε έχει αφεθεί ελεύθερος με εγγύηση και πρέπει να παρουσιαστεί ξανά στην αστυνομία τον Μάιο του 2026.

Η υπόθεση ήρθε στο φως αυτή την εβδομάδα. Μαζί της ασχολείται η ειδική Μονάδα Κυβερνοεγκλήματος της Μητροπολιτικής Αστυνομίας, μετά από παραπομπή από το FBI.

Δείτε επίσης: Η Μeta αναστέλλει τη συνεργασία με την Mercor μετά από παραβίαση

Πώς έδρασε ο πρώην μηχανικός της Meta και έκλεψε τις φωτογραφίες;

Ο μηχανικός φέρεται να έγραψε ένα πρόγραμμα που μπορούσε να αντλήσει ιδιωτικές εικόνες από λογαριασμούς στο Facebook, αποφεύγοντας τους ελέγχους ασφαλείας που χρησιμοποιεί η Meta για να επισημάνει ύποπτη εσωτερική πρόσβαση. Το αποτέλεσμα, σύμφωνα με τους ερευνητές, ήταν η εξαγωγή περίπου 30.000 φωτογραφιών που ανήκαν σε χρήστες που δεν είχαν δημοσιοποιήσει αυτές τις εικόνες. Η Μeta δήλωσε στο BBC ότι η παραβίαση ανακαλύφθηκε πριν από περισσότερο από ένα χρόνο. Η εταιρεία δήλωσε ότι απέλυσε αμέσως τον υπάλληλο και παρέπεμψε το θέμα στις αρχές επιβολής του νόμου.

Οι μηχανισμοί με τους οποίους το πρόγραμμα απέφυγε την ανίχνευση δεν έχουν δημοσιοποιηθεί ούτε από τη Μeta ούτε από τη Μητροπολιτική Αστυνομία. Αυτό που είναι σαφές είναι ότι μεσολάβησε μια περίοδος αρκετών μηνών μεταξύ της ανακάλυψης της παραβίασης και της σύλληψης, κάτι που συνάδει με μια διασυνοριακή έρευνα που περιελάμβανε το FBI, πριν η παραπομπή φτάσει στις βρετανικές αρχές επιβολής του νόμου.

Η Meta δήλωσε ότι έκτοτε έχει ενημερώσει τους χρήστες του Facebook των οποίων οι εικόνες κατέβηκαν και έχει αναβαθμίσει τα συστήματα ασφαλείας της για να αντιμετωπίσει την ευπάθεια.

Meta: Αυξάνονται τα προβλήματα ιδιωτικότητας

Η έρευνα προστίθεται σε έναν κατάλογο προβλημάτων ιδιωτικότητας και ασφάλειας που έχουν ακολουθήσει τη Μeta για χρόνια, και τα οποία οι ρυθμιστικές αρχές έχουν βρει αρκετά σοβαρά ώστε να δικαιολογούν σημαντικές χρηματικές ποινές.

Δείτε επίσης: Η κρίση της Μeta για την ασφάλεια των παιδιών στα χέρια δύο ενόρκων

Τον Νοέμβριο του 2022, η Επιτροπή Προστασίας Δεδομένων της Ιρλανδίας, η οποία λειτουργεί ως κύριος ρυθμιστής της Μeta για το GDPR στην Ευρωπαϊκή Ένωση, επέβαλε στην εταιρεία πρόστιμο 265 εκατομμυρίων ευρώ μετά από έρευνα για την εξαγωγή δεδομένων 533 εκατομμυρίων χρηστών του Facebook. Τα δεδομένα, που περιλάμβαναν ονόματα, αριθμούς τηλεφώνου και διευθύνσεις email, εμφανίστηκαν σε ένα διαδικτυακό φόρουμ hacking τον Απρίλιο του 2021.

Η DPC διαπίστωσε ότι η Meta είχε αποτύχει να εφαρμόσει την προστασία δεδομένων “by design and by default” όπως απαιτείται από τα Άρθρα 25(1) και 25(2) του GDPR.

Δύο χρόνια αργότερα, τον Σεπτέμβριο του 2024, ο ίδιος ρυθμιστής επέβαλε πρόστιμο 91 εκατομμυρίων ευρώ, αφού διαπίστωσε ότι η Meta είχε ακούσια αποθηκεύσει τους κωδικούς πρόσβασης περίπου 600 εκατομμυρίων χρηστών του Facebook και του Instagram σε απλό κείμενο στα εσωτερικά της συστήματα. Οι κωδικοί πρόσβασης δεν εκτέθηκαν ποτέ σε εξωτερικά μέρη, αλλά η αποτυχία να τους ασφαλίσει εσωτερικά παραβίασε πολλαπλές διατάξεις του GDPR, συμπεριλαμβανομένης της βασικής απαίτησης για την εφαρμογή κατάλληλων τεχνικών μέτρων ασφαλείας.

Εσωτερικές απειλές

Η εξαγωγή εικόνων από τον πρώην μηχανικό φέρνει στο φως το ζήτημα της απειλής από εσωτερικούς παράγοντες, μία από τις πιο δύσκολες προκλήσεις για τις μεγάλες τεχνολογικές εταιρείες. Η έρευνα που πραγματοποιήθηκε στο Λονδίνο αναδεικνύει έναν ιδιαίτερα σύνθετο τύπο κινδύνου: τον εργαζόμενο που έχει ήδη εξουσιοδοτημένη πρόσβαση στα συστήματα. Σε αντίθεση με τις εξωτερικές επιθέσεις, όπου οι εισβολείς προσπαθούν να παραβιάσουν τα συστήματα από έξω και μπορούν να αντιμετωπιστούν με μέτρα όπως firewalls, περιορισμούς πρόσβασης και εργαλεία ανίχνευσης ύποπτης δραστηριότητας, οι εσωτερικές απειλές είναι πιο δύσκολο να εντοπιστούν. Αυτό συμβαίνει επειδή το άτομο που προχωρά σε κατάχρηση γνωρίζει ήδη πώς λειτουργούν τα συστήματα και μπορεί να παρακάμψει τους μηχανισμούς ελέγχου πιο εύκολα.

Δείτε επίσης: Meta: Αφαιρεί το end-to-end encryption από τα Instagram DMs

Η Meta υποστήριξε ότι εντόπισε την παραβίαση και αντέδρασε άμεσα, απολύοντας τον υπάλληλο και παραπέμποντας την υπόθεση στις αρμόδιες αρχές. Αυτό δείχνει ότι οι εσωτερικοί μηχανισμοί ελέγχου τελικά λειτούργησαν και κατάφεραν να εντοπίσουν την ύποπτη δραστηριότητα, έστω και εκ των υστέρων. Παρ’ όλα αυτά, παραμένουν σημαντικά ερωτήματα. Δεν είναι σαφές για πόσο χρονικό διάστημα λειτουργούσε το σύστημα εξαγωγής δεδομένων πριν γίνει αντιληπτό, ούτε πώς κατάφεραν να διαρρεύσουν περίπου 30.000 φωτογραφίες χωρίς να ενεργοποιηθούν έγκαιρα ειδοποιήσεις. Αυτά τα σημεία αναμένεται να εξεταστούν διεξοδικά από τη Μητροπολιτική Αστυνομία, ενώ πιθανές κατηγορίες θα αποφασιστούν από την Εισαγγελία μετά την ολοκλήρωση της διαδικασίας.

Για τους χρήστες του Facebook που επηρεάστηκαν, η ενημέρωση από τη Meta δύσκολα μπορεί να θεωρηθεί καθησυχαστική. Οι εικόνες που διέρρευσαν ήταν ιδιωτικές, δηλαδή περιεχόμενο που οι ίδιοι είχαν επιλέξει να μην δημοσιοποιήσουν. Δεν είναι γνωστό αν επρόκειτο για αυστηρά προσωπικές ή απλώς ιδιωτικές φωτογραφίες, όμως το βασικό πρόβλημα παραμένει: το υλικό αυτό βρίσκεται πλέον εκτός πλατφόρμας. Επιπλέον, το γεγονός ότι η φερόμενη παραβίαση προήλθε από άτομο εντός της εταιρείας ενισχύει το αίσθημα ανασφάλειας, καθώς πρόκειται για έναν οργανισμό στον οποίο οι χρήστες είχαν εμπιστευτεί την προστασία των δεδομένων τους.