# Facebook e Google+ em 2018: as falhas de segurança que expuseram contas de usuários — Citeo > Em setembro de 2018, uma falha no recurso "Ver como" do Facebook afetou quase 50 milhões de contas. Em outubro, o Google anunciou o fim do Google+ para con... Fonte: https://citeo.com.br/artigo/2018-falhas-facebook-ver-como-e-fim-do-google-plus · Atualizado em 21/10/2026 [Início](https://citeo.com.br) [Insights](https://citeo.com.br/blog) [Segurança](https://citeo.com.br/blog/seguranca) Retrospectiva 2018 · Segurança# Facebook e Google+ em 2018: as falhas de segurança que expuseram contas de usuários **Redação Citeo** Publicado em 31/12/2018 Revisado em 17/10/2026 **Período analisado: 2018** 3 min de leitura Resposta rápidaEm setembro de 2018, uma falha no recurso "Ver como" do Facebook afetou quase 50 milhões de contas. Em outubro, o Google anunciou o fim do Google+ para consumidores após uma falha que expôs dados de cerca de 500 mil perfis. Duas falhas em grandes plataformas marcaram o segundo semestre de 2018. Em 28 de setembro, o Facebook admitiu que uma vulnerabilidade no recurso "Ver como" permitiu a atacantes obter tokens de acesso de quase 50 milhões de contas. Em 8 de outubro, o Google anunciou o encerramento gradual do Google+ para consumidores depois de revelar que uma falha expôs dados de 496.951 perfis. Os dois casos mostraram que integrações e recursos aparentemente simples podem abrir caminho para incidentes em grande escala. ## O que aconteceu com o Facebook? Segundo o portal WeLiveSecurity, da ESET, o Facebook identificou a falha em 25 de setembro de 2018. O problema estava no recurso "Ver como", que permite ao usuário ver o próprio perfil como outra pessoa o veria. Uma vulnerabilidade no código desse recurso permitiu que atacantes obtivessem tokens de acesso, as credenciais que mantêm o usuário conectado sem precisar digitar a senha novamente. Com esses tokens, seria possível assumir contas. A empresa corrigiu a falha, notificou as autoridades e redefiniu os tokens das cerca de 50 milhões de contas afetadas. Na época, não estava confirmado se as contas tinham sido de fato usadas, nem quem eram os atacantes. ## E o que aconteceu com o Google+? De acordo com o Olhar Digital, a falha do Google+ existia desde 2015 e foi detectada e corrigida em março de 2018. Quando um usuário autorizava um aplicativo pelo login do Google, o app recebia também informações de contatos da pessoa, e não apenas dados públicos do perfil. O Google estimou em 496.951 o número de pessoas com dados expostos, como nome completo, e-mail, data de nascimento, gênero, foto, cidades onde morou, ocupação e estado civil. A empresa disse não ter encontrado evidência de uso indevido. Um memorando interno, revelado pelo Wall Street Journal, indicava receio de que divulgar a falha colocaria o Google sob os holofotes ao lado do Facebook, que vivia o caso Cambridge Analytica. O Google anunciou que o Google+ seria encerrado para consumidores ao longo de dez meses, citando também baixa adesão: 90% das sessões duravam cinco segundos ou menos. ## Como os dois casos se comparam? AspectoFacebook ("Ver como")Google+Anúncio28 de setembro de 20188 de outubro de 2018OrigemVulnerabilidade em recurso da plataformaFalha em API usada por aplicativos autorizadosContas afetadasQuase 50 milhões496.951 perfisO que foi expostoTokens de acesso às contasDados de perfil, como nome, e-mail e ocupaçãoRespostaCorreção e redefinição de tokensCorreção em março e encerramento gradual do serviço ## Que lições ficaram para empresas que desenvolvem software? Os dois casos envolveram mecanismos de autenticação e integração, temas presentes em praticamente qualquer sistema web. Algumas práticas que eles reforçam: - revisar periodicamente quais dados cada API devolve e para quem; - limitar permissões de aplicativos de terceiros ao mínimo necessário; - tratar tokens de sessão como credenciais sensíveis, com expiração e revogação; - ter um processo de comunicação de incidentes definido antes de precisar dele. O caso do Google+ também chamou atenção para o tempo entre a descoberta e a divulgação de uma falha: o problema foi corrigido em março e só se tornou público em outubro de 2018, depois da reportagem do Wall Street Journal. ## O que isso significa hoje? Ao contratar o desenvolvimento de um sistema com login social, APIs abertas ou integrações com parceiros, vale perguntar ao fornecedor como ele testa permissões e sessões, se faz revisão de segurança antes de cada entrega e como registraria e comunicaria um incidente. Na Citeo, é possível comparar [empresas de cibersegurança](/empresas/cyber) que oferecem testes desse tipo. ## Fontes - [WeLiveSecurity: Facebook admite problema de segurança que afeta quase 50 milhões de contas (28/09/2018)](https://www.welivesecurity.com/br/2018/09/28/facebook-admite-problema-de-seguranca-que-afeta-quase-50-milhoes-de-contas/) - [Olhar Digital: Google+ será encerrado após falha que expôs dados de 500 mil usuários (08/10/2018)](https://olhardigital.com.br/noticia/google-sera-encerrado-apos-falha-que-expos-dados-de-500-mil-usuarios/79025) - [Teletime: Temer sanciona lei de proteção de dados pessoais (14/08/2018)](https://teletime.com.br/14/08/2018/temer-sanciona-lei-de-protecao-de-dados-pessoais-mas-veta-a-agencia-reguladora/) **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://citeo.com.br/comparar) ## Perguntas frequentes ### Quantas contas foram afetadas pela falha do Facebook em 2018? Quase 50 milhões de contas, segundo o Facebook. A falha estava no recurso "Ver como" e permitia obter tokens de acesso. ### Por que o Google+ foi encerrado? O Google anunciou o encerramento para consumidores em outubro de 2018, após revelar uma falha que expôs dados de cerca de 500 mil perfis e citando também a baixa adesão ao serviço. ### O que é um token de acesso? É a credencial que mantém o usuário conectado a um serviço sem que ele precise digitar a senha a cada acesso. Quem obtém um token válido pode agir como se fosse o dono da conta até que ele seja revogado. ## Leia também [](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura