Facebook rapporterade ett stort säkerhetsintrång där 50 miljoner användarkonton nåddes av okända angripare.

Angriparna fick möjligheten att "ta kontroll" över dessa användarkonton, Facebook sa, genom att stjäla digitala nycklar som företaget använder för att hålla användare inloggade. De kunde göra det genom att utnyttja tre distinkta buggar i Facebooks kod.

Företaget sa att det har fixat buggarna och loggat ut de 50 miljoner användare som har brutit mot dem – plus ytterligare 40 miljoner som var sårbara för attacken – för att återställa de digitala nycklarna. Användare behöver inte ändra sina Facebook-lösenord, det stod.

Facebook sa att de inte vet vem som låg bakom attackerna eller var de är baserade. I ett samtal med reportrar på fredagen, VD Mark Zuckerberg – vars eget konto äventyrats – sa att angripare skulle ha haft möjlighet att se privata meddelanden eller göra inlägg på någons konto, men det finns inga tecken på att de gjorde det.

"Vi vet ännu inte om något av kontona faktiskt har missbrukats, " sa Zuckerberg.

Hacket är det senaste bakslaget för Facebook under ett tumultartat år av säkerhetsproblem och integritetsproblem. Än så länge, fastän, ingen av dessa frågor har nämnvärt skakat förtroendet hos företagets 2 miljarder globala användare.

Detta senaste hack involverade buggar i Facebooks "Visa som"-funktion, som låter människor se hur deras profiler ser ut för andra. Angriparna använde den sårbarheten för att stjäla de digitala nycklarna, känd som "åtkomsttokens, " från konton för personer vars profiler söktes efter med "Visa som"-funktionen. Attacken flyttade sedan vidare från en användares Facebook-vän till en annan. Innehav av dessa tokens skulle tillåta angripare att kontrollera dessa konton.

En av buggarna var mer än ett år gammal och påverkade hur "Visa som"-funktionen interagerade med Facebooks videouppladdningsfunktion för att skicka meddelanden om "grattis på födelsedagen", sa Guy Rosen, Facebooks vice vd för produkthantering. Men det var inte förrän i mitten av september som Facebook märkte en ökning av ovanlig aktivitet, och inte förrän den här veckan som den fick reda på attacken, sa Rosen.

"Vi har ännu inte kunnat avgöra om det fanns specifik inriktning" på vissa konton, Rosen sa i ett samtal med reportrar. "Det verkar brett. Och vi vet ännu inte vem som låg bakom dessa attacker och var de kan vara baserade."

Varken lösenord eller kreditkortsdata stals, sa Rosen. Han sa att företaget har larmat FBI och tillsynsmyndigheter i USA och Europa.

Jake Williams, en säkerhetsexpert på Rendition Infosec, sa att han är oroad över att hacket kan ha påverkat tredjepartsapplikationer.

Williams noterade att företagets "Facebook Login"-funktion låter användare logga in på andra appar och webbplatser med sina Facebook-uppgifter. "Dessa åtkomsttokens som stals visas när en användare är inloggad på Facebook och det kan räcka för att komma åt en användares konto på en tredje parts webbplats, " han sa.

Facebook bekräftade sent på fredagen att tredjepartsappar, samt sin egen Instagram-app, kunde ha påverkats.

"Sårbarheten fanns på Facebook, men dessa åtkomsttokens gjorde det möjligt för någon att använda kontot som om de själva vore kontoinnehavare, sa Rosen.

Nyheten kom tidigt i år att ett dataanalysföretag en gång anställd av Trump-kampanjen, Cambridge Analytica, hade felaktigt fått tillgång till personuppgifter från miljontals användarprofiler. Sedan fann en kongressutredning att agenter från Ryssland och andra länder har postat falska politiska annonser sedan åtminstone 2016. I april Zuckerberg dök upp vid en kongressutfrågning fokuserad på Facebooks sekretesspraxis.

Facebook-buggen påminner om en mycket större attack mot Yahoo där angripare äventyrade 3 miljarder konton – tillräckligt för hälften av hela världens befolkning. När det gäller Yahoo, information som stulits inkluderar namn, mejladresser, telefonnummer, födelsedatum och säkerhetsfrågor och svar. Det var bland en serie Yahoo-hack under flera år.

Amerikanska åklagare anklagade senare ryska agenter för att använda informationen de stal från Yahoo för att spionera på ryska journalister, Amerikanska och ryska regeringstjänstemän och anställda vid finansiella tjänster och andra privata företag.

I Facebooks fall, det kan vara för tidigt att veta hur sofistikerade angriparna var och om de var kopplade till en nationalstat, sa Thomas Rid, professor vid Johns Hopkins University. Rid sa att det också kunde vara spammare eller brottslingar.

"Ingenting vi har sett här är så sofistikerat att det kräver en statlig aktör, " sade Rid. "Femtio miljoner slumpmässiga Facebook-konton är inte intressanta för någon underrättelsetjänst."

Ed Mierzwinski, senior chef för konsumentorganisationen U.S. PIRG, sa att intrånget var "mycket oroande".

"Det är ännu en varning om att kongressen inte får anta någon nationell lagstiftning om datasäkerhet eller dataintrång som försvagar nuvarande statliga integritetslagar, föregriper staters rätt att anta nya lagar som skyddar sina konsumenter bättre, eller nekar deras advokater allmänna rättigheter att utreda överträdelser av eller upprätthålla dessa lagar, " sa han i ett uttalande.

Wedbush-analytikern Michael Pachter sa "den viktigaste punkten är att vi fick reda på dem, " betyder Facebook, i motsats till en tredje part.

"Som användare, Jag vill att Facebook proaktivt skyddar min data och låter mig veta när den har äventyrats, " han sa.

© 2018 The Associated Press. Alla rättigheter förbehållna.