波蘭籍資安鑑識分析好手Lasq，部落格甫開張就揭Facebook的瘡疤，上週Lasq意識到，有個在臉書散布垃圾廣告的組織行動，藉由分享趣味圖案，吸引人按下滑鼠，彈出對話框詢問是否年逾16，再按鍵則挑出一堆廣告，而FB出現期望中的內容，賡續追查發現，該行動鎖定法國人，還避開來自波蘭的轉址流量，此資安事件無法以X-Frame-Options=DENY方式阻絕，因攻擊者係利用Facebook行動版網頁分享對話方塊功能，當mobile_iframe=true，能操控受害者後續瀏覽之URL，危險之處在於FB朋友之間信任，無防備狀態下被誘導至釣魚網頁而交出個資，下載惡意程式，甚可能變更受害者隱私選項，刪除account，然FB官方認為此為功能非漏洞，並宣稱已改善Clickjacking偵測系統，足以防止攻擊，但Lasq實測後仍可得手，並提供探勘工具(https://malfind.com/test/poc.html )，惟須注意試驗poc.html時請調整為隱私，莫影響社交關係。
影響產品：Facebook
解決辦法：暫無。
資料來源：
- https://malfind.com/
- https://www.bleepingcomputer.com/news/security/the-clickjacking-bug-that-facebook-wont-fix/
- https://www.zdnet.com/article/researcher-publishes-proof-of-concept-code-for-creating-facebook-worm/
- https://twitter.com/lasq88
- https://developers.facebook.com/docs/sharing/reference/share-dialog
- https://zh.wikipedia.org/wiki/Facebook
- https://zh.wikipedia.org/wiki/%25E7%2582%25B9%25E5%2587%25BB%25E5%258A%25AB%25E6%258C%2581
- https://blog.m157q.tw/posts/2018/07/23/clickjacking-frame-attack-defense/
- https://www.qa-knowhow.com/?p=2944
