Möglich wurde das durch ein Cross Site Scripting, mit dem Schadcode in die Website von Yelp übertragen wurde. Da Yelp nun zu einer der ersten Plattformen gehört, die via „Instant Personalization“ auf Facebook-Daten zugreifen können, wäre es theoretisch möglich gewesen Daten wie Usernamen, E-Mail-Adressen und für alle freigegebene Inhalte auszulesen.

Sowohl Yelp als auch Facebook wurden von der Sicherheitslücke in Kenntnis gesetzt und haben die entsprechenden Funktionen sofort abgeschaltet. Mittlerweile wurde die Lücke von Yelp geschlossen und der Service läuft wieder. Daten sollen dabei nicht gestohlen worden sein. Auch wenn das tatsächlich der Fall ist, stellt sich doch die Frage, ob so ein Fall nicht jederzeit wieder auftreten könnte.

Ob Yelp zum geplanten Deutschland-Start dann auch mit der implementierten „Instant Personalization“ ausgerüstet sein wird, ist unklar. Wie man sich vor den Auswirkungen der neuen Facebook-Verknüpfung schützen kann, haben wir hier beschrieben.