Walaupun udah banyak yang share tapi saya share juga di blog ini karena banyak yg belum mengetahui bahaya acces token silahkan langsung aja

Apa itu Access Token ?
Access Token merupakan struktur data yang berisi informasi keamanan yang dibutuhkan oleh sebuah proses untuk mengakses objek (dalam hal ini akun Facebook) atau proses lainnya yang membutuhkan otorisasi.

Dari mana Access Token tercipta ?
Seperti yang kita ketahui bersama, Facebook memiliki ribuan bahkan mungkin jutaan apps (aplikasi) untuk memanjakan penggunanya. Dari setiap penggunaan apps tersebutlah Access Token tercipta. Setiap Access Token akan tersimpan pada server hostingan pembuat aplikasi Facebook.

Kenapa dikatakan Access Token berbahaya ?
Apabila Access Token akun Facebook anda diketahui oleh orang yang tidak bertanggung jawab maka orang tersebut dapat meng-update-kan status Facebook anda, mem-posting link dan dapat pula memasukkan foto/gambar tanpa perlu melakukan login ke akun Facebook anda. Mungkin diantara kita pernah mendengar beberapa kasus pengguna Facebook berurusan dengan pihak Kepolisian bahkan sampai ke depan meja hijau akibat dari status Facebook-nya.

Bagaimana proses kerjanya ?
Di sini saya akan mempraktekkan proses kerjanya, bukan mengajarkan. Dan di akhir penjelasan nanti akan dijelaskan bagaimana cara untuk menghindarinya. Baiklah, mari kita mulai.

Pertama – tama saya akan login ke akun Facebook saya sendiri. Antara akun Facebook saya dengan Facebook korban tidak saling berteman. (jika berteman lebih baik lagi)

Sebelumnya, saya telah membuat sebuah aplikasi sederhana di Facebook. Dengan memanfaatkan tekhnik social engineering saya memberikan link aplikasi Facebook itu kepada korban agar tergiur untuk menggunakannya. Link aplikasinya adalah
Sang korban tergiur dan menggunakan aplikasi Facebook dari saya.
Untuk lebih memastikan apakah korban sudah menggunakan aplikasi Facebook dari saya, langsung saja saya login ke cpanel lalu menuju ke phpMyAdmin.

Dan ternyata si korban telah menggunakan aplikasi Facebook dari saya. Yang ditandai kotak warna merah adalah access_token Facebook korban.

Mari kita coba untuk meng-update-kan status Facebook korban dengan sedikit “injeksi url”
Injeksi url :
https://graph.facebook.com/ID-FACEBOOK/f...KEN-KORBAN
Selanjutnya kita coba untuk mem-posting LINK ke akun Facebook korban.
Injeksi url :
https://graph.facebook.com/ID/feed?metho...KEN-KORBAN

Terakhir, saya akan memasukkan sebuah gambar ke dalam akun Facebook korban.
Injeksi url :
https://graph.facebook.com/photos?url=URL GAMBAR&method=POST&message=KALIMAT&access_token=ACCESS-TOKEN-KORBAN

Quote:Bagaimana cara menghindari penggunaan Access Token oleh orang yang tidak bertanggung jawab ?Cara untuk menghindarinya cukup mudah yaitu :

Masuk ke Pengaturan Privasi Aplikasi Facebook
Cari aplikasi Facebook yang mencurigakan, contoh pada demo kali ini aplikasinya bernama ACCESS_TOKEN, klik edit (sunting) pada aplikasi tersebut.
Di sini ada beberapa pilihan, perhatikan gambar di bawah 

Sumber : X-Coder VIP 

Sebuah temuan baru seperti dikabarkan ZDNet, beberapa aplikasi smartphone populer yang banyak diunduh penggunanya diduga dapat mengakses PESAN TEKS telepon. Dan bahkan akses ini dapat dilakukan meski telepon tersebut tidak sedang digunakan.

Aplikasi-aplikasi tersebut antara lain YOU TUBE, Flickr, dan Facebook. Selain mengakses data pesan (SMS) aplikasi ini mampu membaca informasi pribadi lainnya.

The Sunday Times melaporkan jika pengguna ANDROID dan IPHONE sangat rentan dengan serangan (aplikasi) ini. Entah aplikasi tersebut membaca data secara langsung atau bahkan mencuri – tidak meminta izin – tanpa aktivitas permissions.

Serangan lain dilaporkan jika aplikasi tersebut mampu untuk memutuskan panggilan telepon, mengaksescamera ponsel jaraj jauh, hingga menentukan lokasi pengguna tanpa sepengatuan pemilik telepon.

Industri aplikasi diperkirakan bernilai hingga USD 6 miliar per tahun. Tidak banyak pengembang yang mengeruk keuntungan besar dalam bisnis aplikasi smartphone ini. Namun mereka kerap dikritik soal keamanan dan masalah PRIVASI

Apple dan Google sebagai pemilik ‘pasar aplikasi’ tidak gelap mata dengan kondisi yang demikian. Apple memiliki syarat yang ketat tatkala sebuah aplikasi sebelum dikirimkan ke Apple App Store. Sedangkan Google harus bekerja keras di tiap harinya dalam menghapus aplikasi yang dideteksi mengandung malware.

Pihak Facebook mengatakan jika aplikasi mereka menggunakan ‘hak akses’ yang terintegrasikan dengan sistem SMS di telepon. Namun bukan berarti Facebook ‘membaca’ isi SMS dalam telepon tersebut.