Facebookは10月12日（米国時間）、サイバー攻撃で情報が流出した可能性があるとする9月の報告（関連記事）について、影響を受けたユーザーは当初の推定より少ない約3000万人とする続報を明らかにしました。

Facebookの発表

　この問題ははじめ、同社が9月下旬に報告。サイバー攻撃により約5000万人分のアクセストークン（ブラウザを閉じたりアプリを再起動したりしても、Facebookにそのままログインしておけるデジタルキー）が盗まれた可能性があるとしていました。

　当初同社は影響を受けたユーザーを約5000万人としていましたが、現時点では、アクセストークンを盗まれたユーザーは約3000万人とみています。

　攻撃に利用されたのは2017年7月から2018年9月の間に存在していた脆弱性で、自身のプロフィールが他者からう見えるか確認できる「View As」機能に影響するもの。同社は9月14日に活動の異常な急増がみられたことから調査を行い、25日に攻撃を特定して2日以内に停止したと説明しています。

　攻撃者はあらかじめ複数のFacebookアカウントをコントロールしており、それらアカウントの友人から約40万人分のアクセストークンを盗み、その40万人の友人リストを利用して約3000万人のアクセストークンを盗んだと同社。

　攻撃者がアクセスしたユーザー情報は、3000万人のうち1500万人は名前と連絡先情報（電話番号やメールアドレス）、1400万人は名前と連絡先に加えて性別や場所、言語、交際ステータス、宗教、出身地、生年月日など。残る100万人については攻撃者はなんの情報も得られなかったとのこと。

　自分のアカウントが影響を受けたかどうかはヘルプセンターで確認可能。Facebookは近く、影響を受けた3000万人にメッセージを送るとしています。

Facebookが送るメッセージの例