Facebook har haft det svært på det seneste: Cambridge Analytica (og andre), desinformationskampagner, databrud – de dårlige nyheder synes at komme tæt og hurtigt. Det er ikke overraskende, at sikkerheden på vores engang elskede sociale medier er blevet undersøgt nøje.
På trods af at Facebook er faldet i unåde hos offentligheden, er det stadig den dominerende sociale medieplatform med over to milliarder aktive månedlige brugere, og det er eksklusive Instagram, Messenger og Whatsapp.
Med så mange mennesker, der bruger platformen, er det vigtigt at overveje brugernes – og dermed virksomhedernes – sikkerhedsproblemer, og hvordan truslerne kan afbødes.

Hvorfor bør virksomheder være bekymrede over Facebook?

Som virksomhedsejer eller it-professionel tænker du sikkert, at Facebook ikke rigtig er et problem for din organisation, du har blokeret det på netværket, hvilken skade kan det gøre?
Jamen, der er direkte og indirekte trusler.
Og uanset den demografiske sammensætning af din arbejdsstyrke er det sandsynligt, at størstedelen af dine medarbejdere vil have en Facebook-konto. Hvis vi skal være kyniske, kan dette i sig selv bringe din organisation i fare.
Det er utroligt, hvor mange oplysninger folk er villige til at afsløre i et meget offentligt forum. Du kan finde ud af folks job, nuværende placering, uddannelse, politiske overbevisning, interesser, fødselsdage, familie og forhold, og listen er lang.
Og uden de rette indstillinger for privatlivets fred og sikkerhed er det meget nemt for en hacker at lave noget rekognosceringsarbejde, sammenkoble profiler på sociale medier og udtænke et phishing-angreb, der er skræddersyet til den enkelte. Der er eksempler på, at en simpel statusopdatering har ført til, at brugere er blevet afpresset, truet med en pistol og deres hjem er blevet røvet. Ja, det er civile eksempler, men det kan sagtens overføres til virksomheder.
Virksomhederne skal sikre sig, at medarbejderne ikke uforvarende giver følsomme oplysninger væk – noget, der skal indgå i en virksomheds bredere sikkerheds- og politik for sociale medier.

Fake Facebook-profiler

En stor del af den svigagtige eller “uautentiske aktivitet” på Facebook kan tilskrives falske profiler og sider. De er en plage og et kontinuerligt problem for platformen.
I første kvartal af 2018 fjernede Facebook 583 millioner falske profiler, det er næsten 6,5 millioner om dagen.
Facebooks nyhedsrum er oversvømmet af pressehistorier om, hvordan de bekæmper koordineret inauthentisk aktivitet i lande som Brasilien, Iran og Myanmar, en aktivitet, der spreder propaganda og politisk uro i disse lande. På trods af succes med kampagner på statsniveau er det ikke lykkedes at imødegå de trusler, der påvirker den bredere brugerbase.
Dagligt ser vi historier i nyhederne om nye phishing-angreb på Facebook, hvor sårbare personer bliver målrettet og udnyttet. Bedre overvågning af dårlige aktører er et must, og uden det vil Facebooks allerede plettede omdømme fortsat blive skadet.
Facebook er klar over, at der er behov for at gøre mere, men brugerne kan ikke fralægge sig selv ansvaret, de er nødt til at praktisere sikre browsingvaner og nærme sig onlineinteraktioner med en sund portion skepsis. For det første skal brugerne vide, hvordan de kan identificere en falsk Facebook-profil.

Hvordan opdager man en falsk profil på Facebook?

I sidste ende blev de sociale medier designet til at skabe netværk, faktisk er en del af Facebooks mission statement “at bringe verden tættere sammen”. På et tidspunkt vil brugerne støde på fremmede profiler, det er platformens natur, så det er vigtigt at kunne identificere de karakteristika, som falske profiler har tendens til at have:

1. Brug af andres billeder og oplysninger

Brug af andres billeder og oplysninger er en almindelig taktik for falske Facebook-profiler, ideen er trods alt at operere under et alias. Billeder er som regel den største gave, der har en tendens til at være attraktive hovedbilleder, berømtheder eller frygtelig generiske lagerfotografier. Der er en nem måde at finde ud af, om billederne er lovligt knyttet til den pågældende konto.
Vi faldt over denne Facebook-profil på et datingsites Facebook-side:

Gennem en omvendt billedsøgning på et par af billederne på profilen var det meget tydeligt, at billederne var af en model.

2. Navnet i URL’en stemmer ikke overens med navnet på Facebook-profilen
Når du opretter din Facebook-profil, vil din URL være dit Facebook-id og bør se nogenlunde sådan ud:

Som med alt andet på Facebook kan du tilpasse din URL Hvis du har en URL, der ikke stemmer overens med profilnavnet, kan det være et advarselstegn på, at der er tale om en falsk eller hacket konto. For eksempel er navnet på nedenstående profil Sarah Collins, men navnet i URL’en er Oking Akin.

3. Tvivlsomme profiloplysninger
Det er sjældent, at man falder over en profil, der er “komplet”, Facebook har så mange felter, at det er svært at følge med. Du bør dog være på vagt over for uoverensstemmelser i profiloplysningerne. Dette er introboksen til en anden Facebook-profil, som vi fandt:

Denne særlige konto arbejder på modelbureauer i Sydafrika, har studeret i Australien og bor i Californien. Hun kan være en international jetsetmodel, der søger kærlighed på Facebook, men det er usandsynligt.
4. Uregelmæssig profiltidslinje/historik
Med enhver konto vil der sandsynligvis være huller i aktivitet og historie, men brugerne skal holde øje med uoverensstemmelser. En profil, vi fandt, gik på universitetet, før den gik i gymnasiet.

1. Udstationering af indhold af lav kvalitet

Ved gennemgang af Facebook-siderne for online dating-tjenester viste de falske konti et klart adfærdsmønster – offentlige introduktioner og meddelelser om, at de søger et forhold. I sig selv kan kommentarerne virke ret uskadelige, men når man graver i profilerne og sammenligner med andre aktiviteter, bliver det meget tydeligt.

Hvad er de mest almindelige phishing-svindelnumre på Facebook?

Romantiske svindelnumre

Romantiske svindelnumre er på ingen måde nye, og de er heller ikke isoleret til Facebook, men Facebook er en platform, der er perfekt for svindlere, der udfører denne type phishing-angreb.
Det online dating-marked er blevet udbredt i løbet af de seneste par år; folk er blevet langt mere komfortable med konceptet, og stigmatiseringen synes at være faldet. Online datingvirksomheder som Tinder, Match.com og Bumble er dukket op og har skabt deres egne applikationer og websteder for at imødekomme deres brugere, og i slæb har de store tilstedeværelser på de sociale medier.
Mindre “officielle” grupper og sider er dukket op for at imødekomme en bredere vifte af datingpræferencer.
Naturen af sociale medier og online dating-tjenester betyder, at der er en sløring mellem de to, begge er i sagens natur sociale og er afhængige af interaktivitet mellem brugerne.
Så vi gik på jagt efter falske konti for at se, hvad vi kunne afdække.
Vi gennemgik kommentarerne på Tinders Facebook-side og bemærkede tegn på, at falske profiler var på spil. I sammenhæng med siden kan nedenstående kommentar virke ret uskadelig, men noget virkede lidt falsk, så vi gravede i profilen.
Profilen i sig selv har alle træk ved en falsk konto: begrænset tidslinje for aktivitet og information, duplikering af billeder, interesser meget fokuseret på dating og lastbilchauffører og er også baseret i Texas, som er blevet identificeret som et arnested for romantiske svindelnumre i den seneste tid.
Når man laver en omvendt billedsøgning på et af billederne på kontoen, kan man se, at profilens billede er blevet indekseret med en Twitter-konto, og funktioner på relaterede konti, hvilket øger sandsynligheden for, at dette er en falsk profil…

Det tog ikke lang tid at finde denne falske konto, og det var heller ikke det eneste tilfælde. Vi tog et kig gennem kommentarfeltet og faldt over flere andre:

Match.coms Facebook-side lider af det samme problem. En hurtig scanning af kommentarerne på siden, og vi fandt denne profil:

På overfladen kan disse profiler virke ret harmløse. de bidrager blot til en stadig stigende mængde af ubetydelig snak på platformen, men de er måske blot forløberen for oprettelsen af konti til online dating-apps som Tinder, Happn og Bumble, der alle bruger Facebook til at hente oplysninger og autentificere brugere.
Typisk er romance-svindel en form for social engineering-angreb, der søger at vinde målets tillid og derefter manipulere dem til at udlevere penge, gaver eller følsomme oplysninger. Vær på vagt over for brugere, der:

• kommer for stærkt på banen, overøser dig med kærlighed og hengivenhed på kort tid
• forsøger at flytte samtalen til en privat kanal og væk fra det oprindelige domæne
• forespørger om mange personlige oplysninger, men er tilbageholdende med at give meget væk selv
• er uvillig til at mødes ansigt til ansigt, videoopkald og undviger i samtaler i det virkelige liv
• opfinder en grund til, at du skal sende penge eller gaver.

Giveaway & Præmiesvindel

Mennesker elsker gratis ting, og derfor er giveaways et effektivt markedsføringsværktøj på sociale medier. Det er ikke overraskende, at det er en taktik, som svindlere har taget til sig for at få fat i personlige oplysninger fra ivrige deltagere.
Vi søgte på “giveaway” på Facebook, og det tog os ikke lang tid at støde på vores første mistænkelige indlæg.
Denne særlige giveaway virker lidt for god til at være sand.
Linket fører brugerne til blogspot-siden: https://new-yingtoying.blogspot.com/, en gratis bloggingplatform fra Google. .

Klikker man på både knapperne “Registrer dig gratis nu” og “Log ind som medlem”, kommer brugeren til den samme side via en række omdirigeringer.

Det er ikke alle svindelnumre, der er helt så tydelige.
Der har været svindelnumre, der giver Primark-kuponer, Norwegian Air og Virgin Atlantic-flyrejser, hvor sidstnævnte benytter sig af punycode til at narre folk.
Sørg også for at være opmærksom på annoncer. Bare fordi det er en annonce og er blevet “undersøgt”, betyder det ikke nødvendigvis, at der ikke er tale om svindel.
Det er klart, at hvis du ser en konkurrence om en rejse med alle udgifter til Caribien, vil du blive fristet, men vær opmærksom på konkurrencer, der:

• er for gode til at være sande (som den ovenfor)
• dirigerer brugerne til mistænkelige URL’er (f.eks. ikke-https, vildledende domæner, tvungne viderestillinger)
• kræver for mange oplysninger eller for meget “engagement” (f.eks. tag 10 venner og del på alle dine konti på sociale medier) fra dem, der deltager
• kræver et deltagergebyr for at komme med i præmielodtrækningen
• som bliver promoveret af en konto med mange konkurrencer uden tydelige tegn på nogen vindere

Facebook Phishing Emails

Vi kender alle til phishingmails. Filtreringssystemerne er blevet så sofistikerede, at vi ikke ser hovedparten af dem, men nogle gange slipper de alligevel igennem.
Fishing-e-mails hævder uvægerligt at være fra support eller sikkerhed, når de foregiver at være fra store virksomheder, og de følger lignende linjer af social engineering – din konto er blevet hacket, bekræft din adgangskode osv. osv.
Dette er et eksempel på en Facebook-phishing-e-mail, som vi har fundet. Det er på ingen måde det mest sofistikerede e-mail-svindelnummer og heller ikke det mest lokkende. Afsenderens adresse er ikke det typiske facebook-domæne for e-mail (@facebookmail), selve e-mailen giver ikke rigtig mening, og der er ikke rigtig så meget til at lokke det potentielle offer ind. Tror ikke, at alt for mange vil blive snydt af netop denne e-mail.
Hvis du er usikker på gyldigheden af en e-mail fra Facebook, kan du altid tjekke de e-mails, som Facebook har sendt dig. Du kan få adgang til dette ved at gå til indstillingerne på din Facebook-profil, sikkerhed og login og derefter rulle ned til bunden for avanceret sikkerhed:

Hvad gør Facebook for at beskytte brugerne?

Det er en udfordring uden fortilfælde for Facebook at overvåge to milliarder brugere på en platform, der er designet til at bringe folk sammen og bruger et væld af teknologier, der hele tiden udvikler sig. Det er ikke underligt, at Facebook kæmper for at løse problemet.
Det forsøger dog.
Den sociale mediegigant har over 20.000 medarbejdere dedikeret til sikkerhed, men at få et menneske til at gennemgå hvert eneste indlæg, konto og annonce på sitet ville være urealistisk alene på baggrund af den enorme mængde. Det ville også ændre den måde, folk bruger Facebook på; hvis du vidste, at nogen ville gennemgå alt, hvad du gjorde på platformen, ville du sandsynligvis filtrere din adfærd.
Facebook har indført politikker for integritet og autenticitet for at afskrække svindlere, der opererer på platformen, men som med de fleste politikker af denne art virker det som den mest tynde afskrækkende foranstaltning.
Det er grunden til, at Facebook vender sig mod kunstig intelligens (AI) for at løse sikkerhedsproblemer.
AI er den moderne teknologi på mode, tilsyneladende kuren mod alle moderne lidelser, men det giver god mening.
Facebook har haft stor succes med anvendelsen af Microsofts PhotoDNA-teknologi, der oprindeligt blev indført for at fjerne børneporno fra platformen og videreudviklet til at identificere andet uønsket indhold.
Selv om Facebook er i stand til at blokere millioner af falske konti hver dag, erkender Facebook, at der er behov for at opdage svindlere, der undgår den første screening. Maskinlæringsteknikker trænes på tidligere indlærte svindelnumre, på samme måde som MI:RIAM bruges til at opdage mobile trusler. Hvis en konto mistænkes for at være uægte, skal den omgå en række tests for at vurdere troværdigheden.

Hvordan kan brugerne ellers være sikre på Facebook?

Facebook-brugere kan ikke regne med, at platformen kan håndhæve ordentlig styring og overvågning, de skal selv tage et vist ansvar for deres egen sikkerhed. Der er en række sikkerhedsfunktioner på Facebook, som kan aktiveres og kontrolleres regelmæssigt for at øge den personlige sikkerhed, herunder forvaltning af privatlivets fred, to-faktor-autentificering (2fa), login-advarsler og enhedsstyring.
Dertil kommer, at Facebook har indbygget rapporteringsfunktioner i platformen for at hjælpe brugerne med selv at føre politi.
Det er også vigtigt at holde øje med de seneste teknikker, som svindlere anvender, og at holde øje med dem. Der findes Facebook-sider og grupper som Facecrooks, der er dedikeret til at spotte og afsløre disse svindelnumre.