Như đã được chỉ ra bởi nhà nghiên cứu Jonathan Albright, lỗ hổng này có từ phiên bản Graph API đầu tiên của Facebook, cho phép các ứng dụng có thể yêu cầu một lượng lớn dữ liệu từ bạn bè của người dùng chỉ bằng một lệnh đơn giản. Một lần cho phép có thể cho các ứng dụng như của Cambridge Analytica quyền truy cập, cho phép ứng dụng liên tục kéo được dữ liệu về trong nhiều năm, cho đến khi ứng dụng bị xóa đi, hoặc khi Facebook cuối cùng cũng đã dỡ bỏ phiên bản 1.0 của Graph API để sử dụng phiên bản hạn chế hơn vào năm 2015.

Trong những dữ liệu mà Graph API đã cung cấp bao gồm cả khả năng đọc tin nhắn riêng tư của người dùng thông qua yêu cầu API "read_mailbox".

Facebook đã xác nhận với Wired rằng chỉ một số nhỏ người dùng đã trao quyền truy cập tin nhắn Messenger: chỉ 1500 người đã cho phép ứng dụng "This is your digital life" làm điều đó. Tuy nhiên, bất cứ ai đã nhận hoặc gửi tin nhắn với những người này sẽ đều có nguy cơ bị ảnh hưởng.

Cambridge Analytica đã lập tức tuyên bố rằng họ đã không truy cập dữ liệu tin nhắn cá nhân của người dùng.

"GSR đã không chia sẻ nội dung của bất kỳ tin nhắn riêng tư nào với Cambridge Analytica hay cho SCL Elections. Cả hai công ty đều đã không xử lý những dữ liệu kiểu đó", Cambridge Analytica viết trên Twitter của mình.

Hoàng Việt (Theo TV)