Facebooks erkännande av att de flesta av dess 2,2 miljarder medlemmar förmodligen har fått sina personuppgifter skrapade av "illvilliga aktörer" är det senaste exemplet på det sociala nätverkets misslyckande med att skydda sina användares data.

För att inte tala om dess uppenbara oförmåga att ens identifiera problemet tills företaget redan var indraget i skandal.

VD Mark Zuckerberg sa till reportrar på onsdagen att Facebook stänger av en funktion som låter människor söka efter Facebook-användare med telefonnummer eller e-postadress. Även om det var användbart för människor som ville hitta andra på Facebook, det visar sig att skrupelfria typer också kom på för flera år sedan att de kunde använda det för att identifiera individer och samla in data från deras profiler.

Skraporna höll på tillräckligt länge, Zuckerberg sa, att "någon gång under de senaste åren, någon har förmodligen kommit åt din offentliga information på detta sätt."

Det enda sättet att vara säker hade varit om användarna medvetet stängde av den sökfunktionen för flera år sedan. Facebook hade det aktiverat som standard.

"Jag tror att Facebook inte har varit tillräckligt tydlig med hur man använder sina sekretessinställningar, sa Jamie Winterton, strategichef för Arizona State Universitys Global Security Initiative. "Den där, till mig, var misslyckandet."

Intrånget var ett häpnadsväckande erkännande för ett företag som redan vacklade efter anklagelser om att det politiska datautvinningsföretaget Cambridge Analytica olämpligt fick tillgång till data om så många som 87 miljoner Facebook-användare för att påverka valen.

Under de senaste veckorna, skandalen har spridit sig i undersökningar över kontinenter, inklusive en undersökning från U.S. Federal Trade Commission. Zuckerberg själv kommer att förhöras av kongressen för första gången på tisdag.

"FTC såg åt andra hållet i flera år när konsumentgrupper berättade för dem att Facebook bröt mot sitt avtal från 2011 för att bättre skydda sina användare. Men nu har Cambridge Analytica-skandalen väckt FTC från sin långa digitala integritetssömn, sa Jeffrey Chester, verkställande direktör för det Washington-baserade integritetsorganisationen Center for Digital Democracy.

Varken Zuckerberg eller hans företag har identifierat vilka som utfört dataskrapningen. Utomstående experter tror att de kunde ha varit identitetstjuvar, bluffartister eller skumma datamäklare som sätter ihop marknadsföringsprofiler.

Zuckerberg sa att företaget upptäckte problemet i en dataintegritetsrevision som startade efter Cambridge Analytica-avslöjandena, men sa inte varför företaget inte hade märkt det – eller fixat det – tidigare.

Facebook svarade inte omedelbart på en begäran om kommentar på torsdagen när man upptäckte dataskrapningen.

I sitt samtal med journalister onsdag, Zuckerberg sa att företaget hade försökt "begränsa" sökningarna. Detta begränsade hur många sökningar någon kan utföra samtidigt från en viss IP-adress, en numerisk beteckning som identifierar en enhets plats på internet. Men Zuckerberg sa att skraparna kringgick det försvaret genom att cykla igenom flera IP-adresser.

Den skrapade informationen var begränsad till vad en användare redan hade valt att offentliggöra – vilket, beroende på en persons sekretessinställningar, kan vara mycket – liksom vad Facebook kräver att folk delar. Det inkluderar fullständigt namn, profilbild och listor över skol- eller arbetsplatsnätverk.

Men hackare och bluffartister kan sedan använda den informationen – och kombinera den med annan data i omlopp – för att dra bluff mot människor, plantera skadlig programvara på sina datorer eller begå andra ofog.

Att ha tillgång till en sådan enorm mängd data kan också innebära nationella säkerhetsrisker, sa Winterton.

En utländsk enhet kan tänkas använda sådan information för att påverka val eller väcka oenighet – precis vad Ryssland påstås ha gjort, använder Facebook och andra sociala medier, i presidentvalet 2016.

Sekretessförespråkare har länge varit kritiska till Facebooks förkärlek för att pressa människor att dela mer och mer information, ofta genom standardalternativ för pro-delning.

Medan företaget erbjuder detaljerade integritetskontroller kan användare stänga av annonsinriktning, till exempel, eller ansiktsigenkänning, och posta uppdateringar som ingen annan ser – många människor ändrar aldrig sina inställningar, och vet ofta inte ens hur man ska göra.

Företaget har försökt förenkla sina inställningar flera gånger under åren, senast denna vecka.

Winterton sa att för enskilda Facebook-användare, att oroa sig för denna dataskrapning kommer inte att göra mycket nytta – trots allt, data finns redan där ute. Men hon sa att det kan vara ett bra tillfälle att "reflektera över vad vi delar och hur vi delar det och om vi behöver."

"Bara för att någon frågar oss information, det betyder inte att vi måste ge det till dem om vi inte är bekväma, " Hon sa.

Hon tillade att även om hon inte längre har ett Facebook-konto, när hon gjorde det satte hon sitt födelseår till 1912 och sin hemstad som Kuala Lumpur, Malaysia. Ingetdera är sant.

© 2018 The Associated Press. Alla rättigheter förbehållna.