Messenger is niet een van de veiligste berichtenapplicaties, en dit wordt zo duidelijk mogelijk onthuld in het onderstaande filmpje waarin een onderzoeker op het gebied van IT-beveiliging laat zien hoe de berichten in de chat van de applicatie kunnen worden aangepast.
Een bestaand beveiligingslek in de code gebruiken Messenger, zou een hacker de bestaande berichten in een gesprek via het platform volledig kunnen wijzigen, en dit komt omdat Facebook zich niet veel bekommerde om het beveiligen van gebruikersgesprekken.
Met behulp van deze techniek kunnen hackers normale gebruikers naar kwaadwillende websites sturen waar ze kunnen worden geïnfecteerd met malware, of ze kunnen verschillende soorten aanvallen uitvoeren, allemaal zonder dat de gebruiker weet dat hij het slachtoffer is van een aanval die via FaceBook Messenger is gericht.
De chatafhandelingsprocedure omvat niet het onderscheppen van gegevensoverdrachten Messenger, maar alleen het vinden van een bericht-ID voor een gebruiker en het manipuleren van de Facebook-servers waarmee berichten tussen gebruikers werden verzonden.
Als voorbeeld van een aanval kan de hacker een legitiem bericht naar een potentieel slachtoffer sturen. Zodra het bericht is ontvangen, kan de hacker dat bericht wijzigen en er een kwaadaardige link of een kwaadaardig bestand in opnemen. De besmettingspunten kunnen ‘naadloos’ worden aangepast, schrijft hij, en het bericht kan op afstand van het Facebook-account worden verwijderd om de sporen van de hacker uit te wissen.
Bovendien konden de hackers de berichten die naar de gebruikers werden gestuurd verwijderen, waardoor de bron van een infectie met malware of virussen niet ontdekt kon worden en de gebruiker niet door Facebook beschermd zou worden voor de gesprekken die hij voerde via het platform van het bedrijf.
Hoewel de kwetsbaarheid uiterst gevaarlijk was, slaagde Facebook erin deze zeer kort nadat deze was aangekondigd door degenen die de kwetsbaarheid hadden ontdekt, te sluiten, zodat gebruikers op dit moment veilig zijn en de ontvangen berichten niet kunnen worden gewijzigd door hackers op afstand.
