Z powodu nieszczęśliwego wypadku wszystkie wyeksportowane kody zostały usunięte podczas eksportu w Google Authenticator ; zapisałam kody odzyskiwania dla wszystkich wpisów, z wyjątkiem tego z Facebooka . Nie było takiej potrzeby ani pośpiechu, ponieważ nie korzystałam z tego portalu społecznościowego od lat, ale chciałam sprawdzić, czy uda mi się jakoś odzyskać dostęp. Początek odysei.
Krytyczny błąd wystąpił w oknie dialogowym wyboru podczas eksportowania wszystkich wpisów w aplikacji Google Authenticator, gdzie pochopnie wybrałem drugą opcję.:
Ale nie tworzy kopii zapasowych.
Facebook wymagał podania kodu czasowego z Google Authenticator po wpisaniu hasła. Ta konfiguracja TOTP już nie istniała. Kody wysyłane e-mailem potwierdzały dostęp do skrzynki pocztowej, ale nie zastępowały brakującego drugiego czynnika uwierzytelniania. Nawet nowe hasło nie zmieniłoby tego.
Pomyślne zalogowanie zajęło prawie trzy miesiące. W międzyczasie pracowały dwa zespoły wsparcia, złożono wniosek o ochronę prywatności, utworzono nowy, tymczasowy adres e-mail, wysłano kilka zdjęć dokumentów tożsamości i przeprowadzono kilka dodatkowych zapytań. Ostatecznie reset hasła nie pomógł; zadziałał jedynie ręcznie wprowadzony, ograniczony czasowo kod uwierzytelniania dwuskładnikowego (2FA).
Po bardzo długich poszukiwaniach znalazłem oficjalny formularz ochrony danych osobowych UE na Facebooku. Dwa tygodnie później w końcu otrzymałem odpowiedź od pracownika działu „Operacje Prywatności” z 16-cyfrowym numerem sprawy. Podałem dane swojego konta, opisałem zgubiony klucz uwierzytelniający i poprosiłem o weryfikację tożsamości, zresetowanie starej metody uwierzytelniania dwuskładnikowego (2FA) oraz o informacje zgodnie z artykułem 15 RODO. Meta odesłała mnie do standardowych narzędzi samoobsługowych do dostępu do danych. Zespół nie był w stanie pomóc z dostępem do konta. W praktyce było to bezużyteczne: wspomniane strony wymagały logowania.
Pomoc: Brak.
Zgłosiłem sprzeciw, wyznaczyłem termin i zapowiedziałem, że w razie potrzeby złożę skargę do odpowiednich organów nadzorczych w sprawie ochrony danych. Odzyskiwanie konta i ujawnianie danych pozostały dwoma odrębnymi procesami; nie otrzymałem pełnych informacji wymaganych przez Artykuł 15. Dwa tygodnie później otrzymałem pierwszą przydatną instrukcję: miałem podać adres e-mail, który nigdy nie był powiązany z obecnym ani poprzednim kontem Meta. W tym celu użyłem jednorazowego adresu e-mail, do którego nadal miałem dostęp.
Dziesięć dni później Dział Operacji Społecznościowych Facebooka skontaktował się ze mną pod tym nowym adresem. Poprosili o szczegółowy opis problemu i zdjęcia mojego oryginalnego dokumentu tożsamości – wyraźnie zaznaczyli, że nie są to skany. Natychmiast wysłałem im przód i tył dokumentu tożsamości, określając dwa konkretne cele: usunięcie nieużywanej już metody TOTP oraz przypisanie nowego adresu do konta.
Przez ponad trzy tygodnie panowała cisza – w końcu skontaktowałem się ponownie, a opis problemu i zdjęcia mojego dokumentu tożsamości zostały ponownie wysłane. Po kolejnych dwóch tygodniach zapytałem o potwierdzenie i status przetwarzania. Nadal nie było zauważalnych zmian na koncie. Po kolejnych dwóch tygodniach oczekiwania połączyłem oba procesy w jedną wiadomość: numer sprawy, dotychczas podjęte kroki, wysłane dokumenty i oczekiwany rezultat.
W końcu (w tym momencie już prawie straciłem nadzieję) Meta wysłała pięć jednorazowych, ośmiocyfrowych kodów 2FA. Były ważne przez trzy dni. W wiadomości wyraźnie zaznaczono, że nie powinienem ponownie resetować hasła przed ich użyciem. Udało mi się zalogować i natychmiast skonfigurować numer telefonu jako dodatkową metodę uwierzytelniania dwuskładnikowego. Nadal jednak nie mogłem usunąć starej metody uwierzytelniania. Na moim komputerze stacjonarnym Facebook zgłosił weryfikację bezpieczeństwa nowego urządzenia, ale na urządzeniu mobilnym strona pozostała pusta.
Aplikacja Google Authenticator została odrzucona.
Poprosiłem Meta o ręczne usunięcie tego samego dnia, a prośba ta została spełniona dwa tygodnie później. Podsumowując, poniższe wskazówki okazały się pomocne.:
- Skontaktuj się z osobą za pośrednictwem oficjalnego formularza ochrony danych UE,
- (Bardzo uporczywie) kontaktuj się z nami za pośrednictwem poczty elektronicznej i nalegaj na przekazanie informacji zgodnie z artykułem 15 RODO.,
- Uzyskaj ręczne kody 2FA i zresetuj 2FA.
Morał z tej historii: uwierzytelnianie dwuskładnikowe nigdy nie powinno być ograniczone do jednego urządzenia. Skonfiguruj kody odzyskiwania, uwierzytelnianie dwuskładnikowe i klucze bezpieczeństwa, zanim będą potrzebne!