Pokazał jak ominąć dwuczynnikowe uwierzytelnienie (2FA) na Facebooku. Wystarczyło co nieco pobruteforsować. Nagroda: $20000

Podatność została zlokalizowana w Accounts Center, gdzie można było dodać do swojego konta numer telefonu. Na telefon wysyłany był 6-cyfrowy kod potwierdzający, iż dana osoba jest właścicielem numeru. Ale – i tu dochodzimy do istoty problemu – Facebook (czy raczej Meta) nie zaimplementował mechanizmu anty-bruteforce. Zatem: Wybranie numeru telefonu konta-celu...