Gebruikers van Facebook die willen weten of ze slachtoffer zijn geworden van het vorige week onthulde datalek bij het platform kunnen nu ook gebruikmaken van datalekzoekmachine Have I Been Pwned (HIBP). De 533 miljoen telefoonnummers van deze gebruikers zijn namelijk toegevoegd aan HIBP. Het is voor het eerst dat de in 2013 gelanceerde zoekmachine het zoeken op telefoonnummers mogelijk maakt. Dat laat beveiligingsonderzoeker Troy Hunt weten, de de bedenker van HIBP.

Bij Facebook werden in 2019 de persoonsgegevens van 533 miljoen gebruikers gestolen. Het gaat om Facebook ID, volledige naam, telefoonnummer, geslacht, locatie, vorige locatie, geboortedatum, werkgever, relatiestatus en andere informatie. Van 2,5 miljoen gebruikers ging het ook om hun e-mailadres. Have I Been Pwned bevat e-mailadressen van accounts die onderdeel van een datalek zijn geweest. Gebruikers kunnen zo op hun e-mailadres zoeken en zien of ze slachtoffer van een bekend datalek zijn geworden.

Hunt besloot dit weekend al om de 2,5 miljoen e-mailadressen van het Facebooklek toe te voegen aan de zoekmachine. Het gaat hier echter om een klein deel van de in totaal 533 miljoen getroffen Facebookgebruikers. Nu meldt de onderzoeker dat ook de 533 miljoen gestolen telefoonnummers zijn toegevoegd. Oorspronkelijk was hij altijd tegen het toevoegen van telefoonnummers, omdat ze onder andere minder vaak voorkomen in datalekken dan e-mailadressen. Ook zijn ze lastiger uit te lezen en is er vaak geen sprake van een consistent formaat.

"De Facebookdata heeft dat allemaal veranderd", aldus Hunt. In dit geval bevat de gestolen en gelekte dataset juist telefoonnummers en slechts van een klein deel van de slachtoffers e-mailadressen. Gebruikers worden daardoor niet gewaarschuwd via Have I Been Pwned, terwijl ze wel slachtoffer zijn. Daarnaast zijn de telefoonnummers goed uit te lezen en zijn ze genormaliseerd in een consistent formaat. "Deze dataset heeft al mijn redenen om het niet te doen op zijn kop gezet", aldus de onderzoeker.

Een andere reden waarom Hunt de telefoonnummers toevoegt is dat er de afgelopen dagen verschillende HIBP-achtige websites zijn verschenen. Volgens de onderzoeker weet hij niet hoe betrouwbaar deze websites zijn. Gebruikers van de datalekzoekmachine die zich hiervoor aanmelden kunnen worden gewaarschuwd wanneer hun e-mailadres in een datalek voorkomt. Dat zal voorlopig niet mogelijk zijn bij telefoonnummers. Hunt is ook niet van plan om telefoonnummers van andere datalekken doorzoekbaar te maken, tenzij er van een soortgelijk datalek sprake is als nu bij Facebook.

Vanwege het grote aantal telefoonnummers dat moet worden toegevoegd kan het nog een aantal uur duren voordat er daadwerkelijk gezocht kan worden. Op het moment van schrijven zijn alle telefoonnummers toegevoegd waarvan het landnummer begint met 4, 6, 8 en 9.