Menurut Rosen, peretasan ini dilakukan melalui eksploitasi tiga celah (bug) pada Facebook sejak 2017 lalu. Yang paling pertama ditemukan adalah celah pada “View As”, yakni fitur privasi untuk melihat seperti apa profil mereka di mata orang lain.
Gara-gara celah ini, peretas kemudian bisa mencuri token akses untuk menguasai akun pengguna. Token akses ini sifatnya seperti kunci digital yang menjaga pengguna dalam keadaan logged in, sehingga tak perlu berulang kali memasukkan username dan password.
Celah kedua terdapat pada tool pengunggah video pada Facebook, sebagai tindak lanjut dari celah pertama. Gara-bara celah ini, pengguna terdorong mengunggah video ulang tahun padahal dalam kondisi View As.
Normalnya, pengguna tak bisa melakukan aksi apa-apa ketika dalam keadaan View As. Hal ini kemudian mendorong munculnya celah ketiga.
Celah ketiga lebih rumit, di mana ketika pengunggah video muncul pada View As, token akses bukan lagi dimiliki pengguna sebagai pelihat (viewer). Token akses bisa pula diakses oleh orang yang disimulasikan pada View As.
