Luka polegała na wykradnięciu tokenów logowania do aplikacji mobilnej. Mając token hakerzy mieli dostęp do praktycznie wszystkich danych swoich ofiar, także do ich prywatnych rozmów.
W poście na Facebooku prezes firmy Mark Zuckerberg poinformował, że naruszenie miało miejsce poprzez funkcję „Wyświetl jako”, która pozwala użytkownikom zobaczyć, jak ich profil jest wyświetlany dla obcych ludzi.