Theo tờ Krebs on Security, Facebook đã lưu trữ mật khẩu của hàng trăm triệu người dùng dưới dạng văn bản thuần túy, không được mã hóa trong nhiều năm qua và bất kì ai có quyền truy cập vào máy chủ nội bộ đều có thể xem được mật khẩu của người dùng.
Thông thường, mật khẩu sẽ được mã hóa bằng hàm băm và thay thế bằng một chuỗi ký tự ngẫu nhiên khác để lưu trên máy chủ của Facebook. Tuy nhiên do lỗi trong hệ thống, các đoạn mã hóa này đã không hoạt động, thay vào đó nó lưu lại toàn bộ mật khẩu của người dùng dưới dạng văn bản thuần túy.
Tính đến thời điểm hiện tại, có khoảng 200 triệu đến 600 triệu người dùng bị ảnh hưởng và hơn 20.000 nhân viên Facebook có thể xem được mật khẩu của người dùng. Facebook đã phát hiện ra vấn đề trên vào tháng 1 khi kiểm tra bảo mật theo định kỳ và sự cố hiện đã được khắc phục. Công ty sẽ thông báo cho tất cả người dùng bị ảnh hưởng trong thời gian tới.
Theo Facebook, hiện không có bất kì dấu hiệu nào cho thấy mật khẩu chứa trong các file văn bản thô bị rò rỉ ra bên ngoài hay lạm dụng nội bộ. Do đó, người dùng sẽ không bị yêu cầu và cũng không cần thiết phải đặt lại mật khẩu.
Ngoài ra, Facebook cũng cho biết thêm rằng "Vấn đề này đã ảnh hưởng tới hàng trăm triệu người dùng Facebook Lite, hàng chục triệu người dùng Facebook khác và hàng chục nghìn người dùng Instagram".
Mặc dù chưa tìm được bằng chứng lạm dụng, tuy nhiên nhật ký truy cập cho thấy có ít nhất 2.000 nhân viên của Facebook đã "thực hiện khoảng 9 triệu lượt truy vấn nội bộ, tìm kiếm các yếu tố dữ liệu có chứa mật khẩu người dùng được lưu dưới dạng văn bản thuần túy" mà không rõ là nhằm mục đích gì.
Theo báo cáo, những file lưu mật khẩu này không phải mới mà đã bắt đầu xuất hiện từ đầu năm 2012, tức gần 7 năm nay.
Đây không phải là vấn đề bảo mật duy nhất xảy ra với Facebook trong thời gian qua. Vào tháng 10 năm ngoái, một hacker đã đánh cắp mã token của gần 29 triệu người dùng, làm cho 14 triệu tài khoản bị lộ thông tin. Không những vậy, chỉ 1 tháng sau, tin nhắn riêng tư của 81.000 tài khoản Facebook khác cũng bị rao bán trên mạng bởi hacker người Nga.