あるセキュリティ研究者が、顧客サポートデータを危険にさらす重大な脆弱性を発見したことで、Metaから多額のバグバウンティを受け取ったと明らかにしました。
この脆弱性は、独立系研究者のRony K Roy氏によって発見され、2026年1月にMetaに報告されました。当初の報告書では深刻度が限定的なセキュリティホールとして説明されていましたが、その後の分析で、この欠陥の影響が当初の想定よりもはるかに大きいことが判明しました。
Roy氏によると、Metaは4月にパッチを展開しており、悪用された形跡は確認されていないとのことです。
この研究者は先週、調査結果を公開し、SecurityWeekに対してMetaから78,000ドルのバグバウンティを受け取ったと語りました。
MetaはRoy氏の主張を確認してほしいというSecurityWeekの取材依頼に応じていませんが、同氏は実際に、同社の2026年版バグバウンティ・リーダーボードで上位研究者の一人として名を連ねています。
Roy氏は当初、Meta Questデバイスとユーザーを管理する企業向けプラットフォームである「Meta Horizon Managed Solutions」における認可の問題を発見したと考えていました。しかし実際には、Metaのバックエンドのサポートインフラ全体に影響する、より広範な問題であることが判明しました。
この研究者による分析の結果、認可の欠如、アクセス制御の不備、そして安全でない直接オブジェクト参照(IDOR)の問題が絡み合う脆弱性が発見されました。
これらの欠陥を連鎖させることで、Metaのサポートケース番号を列挙し、サポートリクエストを取得することが可能になっていました。
Roy氏によると、攻撃者はこの脆弱性を悪用することで、ユーザーとMetaサポートとの間のメールおよびチャットのやり取り、サポートケースの詳細情報、サポートリクエストを通じて同社に提出されたファイル、そしてユーザーがMetaサポートと共有した個人情報や連絡先情報を取得できた可能性があります。
さらに攻撃者は、Meta Horizon Managed Solutionsを利用する組織になりすましてサポートリクエストを作成したり、サポートワークフローを改変(ケースのステータス変更を含む)したり、サポートケースに権限のない購読者を追加したりすることも可能だったとされています。
