Facebook ha avuto un periodo difficile ultimamente: Cambridge Analytica (e altri), campagne di disinformazione, violazioni dei dati – le cattive notizie sembrano essere sempre più frequenti. Non sorprende che la sicurezza del nostro un tempo amato social media sia stata messa sotto esame.
Nonostante la caduta del favore del pubblico, Facebook è ancora la piattaforma di social media dominante che vanta oltre due miliardi di utenti attivi mensili, e questo escludendo Instagram, Messenger e Whatsapp.
Con così tante persone che utilizzano la piattaforma, è importante considerare le preoccupazioni di sicurezza degli utenti, e per estensione delle aziende, e come le minacce possono essere mitigate.

Perché le aziende dovrebbero preoccuparsi di Facebook?

Come proprietario di un’azienda o professionista IT, probabilmente stai pensando che Facebook non è davvero un problema per la tua organizzazione, l’hai bloccato in rete, che male può fare?
Beh, ci sono minacce dirette e indirette.
A prescindere dalla demografia della tua forza lavoro, è probabile che la maggioranza dei tuoi dipendenti abbia un account Facebook. Essendo cinici, questo stesso potrebbe mettere a rischio la vostra organizzazione.
È incredibile quante informazioni le persone sono disposte a divulgare in un forum molto pubblico. È possibile scoprire il lavoro delle persone, la posizione attuale, l’istruzione, le convinzioni politiche, gli interessi, i compleanni, la famiglia e le relazioni, e la lista continua.
Senza le giuste impostazioni di privacy e sicurezza, è molto facile per un hacker fare un lavoro di ricognizione, unire i profili dei social media e ideare un attacco di phishing su misura per l’individuo. Ci sono esempi di un semplice aggiornamento di stato che portano gli utenti ad essere estorti, minacciati con la pistola e le loro case ad essere derubate. Sì, questi sono esempi civili, ma potrebbe essere facilmente applicato all’ambiente aziendale.
Le aziende devono assicurarsi che i dipendenti non stiano inavvertitamente dando via informazioni sensibili – qualcosa che deve essere preso in considerazione in una più ampia politica di sicurezza e di social media dell’organizzazione.

Profili Facebook falsi

Molte delle attività fraudolente o “inautentiche” su Facebook possono essere attribuite a profili e pagine false. Sono una seccatura e un problema continuo per la piattaforma.
Nel primo trimestre del 2018, Facebook ha rimosso 583 milioni di profili falsi, cioè quasi 6,5 milioni al giorno.
La redazione di Facebook è inondata di storie di stampa su come stanno combattendo l’attività inautentica coordinata in paesi come Brasile, Iran e Myanmar, attività che diffonde propaganda e disordini politici in queste nazioni. Nonostante il successo delle campagne a livello statale, le minacce che colpiscono la più ampia base di utenti non vengono affrontate.
Ogni giorno vediamo storie nelle notizie su nuovi attacchi di phishing su Facebook, i vulnerabili presi di mira e sfruttati. Una migliore sorveglianza dei cattivi attori è un must e senza di essa, la reputazione di Facebook, già offuscata, continuerà ad essere danneggiata.
Facebook è ben consapevole della necessità di fare di più, ma gli utenti non possono esimersi dalla responsabilità, hanno bisogno di praticare abitudini di navigazione sicura e affrontare le interazioni online con una sana dose di scetticismo. In primo luogo, gli utenti devono sapere come identificare un falso profilo Facebook.

Come individuare un falso profilo su Facebook?

In fondo, i social media sono stati progettati per il networking, infatti, parte della dichiarazione della missione di Facebook è ‘avvicinare il mondo’. Ad un certo punto, gli utenti si imbatteranno in profili sconosciuti, questa è la natura della piattaforma, quindi è importante essere in grado di identificare le caratteristiche che i profili falsi tendono ad avere:

1. Uso di foto e informazioni di altre persone

L’uso di foto e informazioni di altre persone è una tattica comune dei profili falsi di Facebook, dopo tutto, l’idea è quella di operare sotto uno pseudonimo. Le foto sono di solito il più grande giveaway che tende ad essere attraenti foto di testa, celebrità o terribilmente generica fotografia di stock. C’è un modo semplice per capire se le foto sono legittimamente legate a quell’account.
Ci siamo imbattuti in questo profilo Facebook sulla pagina Facebook di un sito di incontri:

Facendo una ricerca inversa di immagini per un paio di foto sul profilo, era molto evidente che le foto erano di una modella.

2. Il nome nell’URL non corrisponde al nome del profilo Facebook
In fase di impostazione del profilo Facebook, il tuo URL sarà il tuo ID Facebook e dovrebbe essere qualcosa di simile a questo:

Come per tutto il resto su Facebook, è possibile personalizzare il tuo URL Avere un URL che è incongruente con il nome del profilo potrebbe essere un segno di avvertimento che si tratta di un account falso o violato. Per esempio, il nome del profilo qui sotto è Sarah Collins, ma il nome nell’URL è Oking Akin.

3. Informazioni dubbie sul profilo
È raro che ci si imbatta in un profilo “completo”, Facebook ha così tanti campi che è difficile stargli dietro. Tuttavia, si dovrebbe diffidare delle incongruenze nelle informazioni del profilo. Questo è il box introduttivo di un altro profilo Facebook che abbiamo trovato:

Questo particolare account lavora in agenzie di modelle in Sud Africa, ha studiato in Australia e vive in California. Potrebbe essere una modella del jet set internazionale in cerca di amore su Facebook, ma è improbabile.
4. Cronologia del profilo irregolare
Con qualsiasi account, è probabile che ci siano dei vuoti di attività e storia, ma gli utenti devono fare attenzione alle incongruenze. Un profilo che abbiamo trovato ha frequentato l’università prima di andare al liceo.

1. Pubblicazione di contenuti di bassa qualità

Sfogliando le pagine Facebook dei servizi di incontri online, gli account falsi hanno dimostrato un chiaro modello di comportamento – presentazioni pubbliche e annunci che stanno cercando una relazione. Da soli, i commenti possono sembrare abbastanza innocui, tuttavia, quando si scava nei profili e si confronta con altre attività, diventa molto evidente.

Quali sono le truffe di phishing più comuni su Facebook?

Truffe romantiche

Le truffe romantiche non sono affatto nuove, né sono isolate da Facebook, ma Facebook è una piattaforma perfetta per i truffatori che conducono questo tipo di attacchi phishing.
Il mercato degli incontri online ha proliferato negli ultimi anni; la gente è diventata molto più a suo agio con questo concetto e lo stigma sembra essere caduto. Società di incontri online come Tinder, Match.com e Bumble sono emerse creando le proprie applicazioni e siti web per soddisfare i loro utenti, e al seguito, presenze notevoli sui social media.
Sono nati gruppi e pagine meno ‘ufficiali’ per soddisfare una gamma più ampia di preferenze di incontri.
La natura dei social media e dei servizi di incontri online significa che c’è una confusione tra i due, entrambi sono intrinsecamente sociali e si basano sull’interattività tra gli utenti.
Così, siamo andati a caccia di account falsi per vedere cosa potevamo scoprire.
Sfogliando i commenti della pagina Facebook di Tinder, abbiamo notato segni che i profili falsi erano al lavoro. Nel contesto della pagina, il seguente commento può sembrare abbastanza innocuo, ma qualcosa sembrava un po’ falso, così abbiamo scavato nel profilo.
Il profilo stesso ha tutti i tratti di un account falso: timeline limitata di attività e informazioni, duplicazione di foto, interessi molto concentrati su incontri e camionisti e ha anche sede in Texas, che è stato identificato come un focolaio di truffe romantiche nella storia recente.
Facendo una ricerca inversa dell’immagine per una delle foto dell’account, si può vedere che l’immagine del profilo è stata indicizzata con un account Twitter, e caratteristiche su account correlati, aumentando la probabilità che questo sia un profilo falso…

Non ci è voluto molto per trovare questo account falso, né è stato l’unico caso. Abbiamo dato un’occhiata alla sezione dei commenti e ci siamo imbattuti in molti altri:

La pagina Facebook di Match.com soffre dello stesso problema. Una rapida scansione dei commenti sulla pagina e abbiamo trovato questo profilo:

A valore nominale, questi profili possono sembrare piuttosto innocui. contribuendo semplicemente a una quantità sempre maggiore di chiacchiere inane sulla piattaforma, tuttavia, possono essere solo il precursore della creazione di account per applicazioni di incontri online come Tinder, Happn e Bumble, che utilizzano Facebook per ottenere informazioni e autenticare gli utenti.
Tipo, le truffe romantiche sono una forma di attacco di ingegneria sociale che cercano di ottenere la fiducia dei loro obiettivi, e poi manipolarli per consegnare denaro, regali o informazioni sensibili. Diffidate degli utenti che:

• sono troppo forti, ti riempiono di amore e affetto in poco tempo
• tentano di spostare la conversazione su un canale privato e lontano dal dominio originale
• chiedono molte informazioni personali, ma sono riluttanti a dare molto a loro stessi
• non sono disposti a incontrarti faccia a faccia, videochiamano e si sottraggono alle conversazioni nella vita reale
• inventano un motivo per farti inviare soldi o regali.

Giveaway &Truffe a premi

La gente ama le cose gratis, ecco perché i giveaway sono un efficace strumento di marketing sui social media. Non sorprende che sia una tattica che i truffatori hanno adottato per carpire informazioni personali dai compratori desiderosi.
Abbiamo cercato “giveaway” su Facebook e non ci è voluto molto per imbatterci nel nostro primo post sospetto.
Questo particolare giveaway sembra un po’ troppo bello per essere vero.
Il link porta gli utenti alla pagina del blogspot: https://new-yingtoying.blogspot.com/, una piattaforma di blogging gratuita di Google. .

Facendo clic su entrambi i pulsanti ‘registrati ora gratuitamente’ e ‘member login’ l’utente viene portato alla stessa pagina attraverso una serie di reindirizzamenti.

Non tutte le truffe sono così ovvie.
Ci sono state truffe che regalavano buoni Primark, Norwegian Air e voli Virgin Atlantic con quest’ultimo che faceva uso di punycode per ingannare le persone.
Stare attenti anche agli annunci. Solo perché è un annuncio ed è stato ‘controllato’, non significa necessariamente che non sia una truffa.
Ovviamente, se vedete un concorso per un viaggio tutto compreso ai Caraibi, sarete tentati, tuttavia, fate attenzione ai concorsi che:

• sono troppo belli per essere veri (come quello sopra)
• indirizzano gli utenti a URL sospetti (ad esempio non-https, domini ingannevoli, reindirizzamenti forzati)
• chiedono troppe informazioni o “impegno” (es. tagga 10 amici e condividi su tutti i tuoi account di social media) da coloro che partecipano
• chiedi una quota di iscrizione per partecipare all’estrazione dei premi
• sono promossi da un account con un sacco di concorsi senza alcun segno evidente di vincitori

Email di phishing di Facebook

Tutti conosciamo le e-mail di phishing. I sistemi di filtraggio sono diventati abbastanza sofisticati che non ne vediamo la maggior parte, ma a volte, sfuggono.
Invariabilmente le email di phishing affermano di provenire dal supporto o dalla sicurezza quando fingono di essere di grandi aziende e seguono simili linee di ingegneria sociale – il tuo account è stato violato, verifica la tua password ecc ecc.
Questo è un esempio di email di phishing di Facebook che abbiamo trovato. Non è assolutamente la truffa via email più sofisticata, né la più allettante. L’indirizzo del mittente non è il tipico dominio di Facebook per le email (@facebookmail), l’email stessa non ha molto senso e non c’è molto per attirare la potenziale vittima. Non credo che molti saranno ingannati da questa particolare email.
Se non siete sicuri della validità di un’email di Facebook, potete sempre controllare le email che Facebook vi ha inviato. Potete accedervi andando nelle impostazioni del vostro profilo Facebook, sicurezza e login e poi scorrere fino in fondo per la sicurezza avanzata:

Cosa sta facendo Facebook per proteggere gli utenti?

E’ una sfida senza precedenti per Facebook, sorvegliare due miliardi di utenti su una piattaforma che è stata progettata per riunire le persone e utilizza una moltitudine di tecnologie in continuo sviluppo – non c’è da meravigliarsi che Facebook stia lottando per risolvere il problema. Facebook ha stabilito politiche di integrità e autenticità per dissuadere i truffatori che operano sulla piattaforma, ma, come la maggior parte delle politiche di questo tipo, sembra il più debole dei deterrenti.
Ecco perché Facebook si sta rivolgendo all’intelligenza artificiale (AI) per risolvere i problemi di sicurezza.
L’AI è la tecnologia in voga, apparentemente la cura per tutti i disturbi moderni, ma ha senso.
Facebook ha avuto grande successo con l’impiego della tecnologia PhotoDNA di Microsoft, originariamente introdotta per rimuovere la pornografia infantile dalla piattaforma e ulteriormente sviluppata per identificare altri contenuti indesiderati.
Sebbene sia in grado di bloccare milioni di account falsi ogni giorno, Facebook riconosce la necessità di individuare i truffatori che eludono lo screening iniziale. Le tecniche di apprendimento automatico sono addestrate sulle truffe apprese in precedenza, nello stesso modo in cui MI:RIAM viene utilizzato per rilevare le minacce mobili. Se un account è sospettato di essere inautentico, dovrà superare una serie di test per valutare la credibilità.

In che altro modo gli utenti possono stare al sicuro su Facebook?

Gli utenti di Facebook non possono fare affidamento sulla piattaforma per imporre una corretta governance e polizia, devono accettare alcune responsabilità per la propria sicurezza. Ci sono una serie di funzioni di sicurezza su Facebook che possono essere attivate e controllate regolarmente per migliorare la sicurezza personale, tra cui la gestione della privacy, l’autenticazione a due fattori (2fa), gli avvisi di login e la gestione dei dispositivi.
Inoltre, Facebook ha costruito funzioni di segnalazione nella piattaforma per aiutare gli utenti ad auto-poliziarsi.
È importante anche tenere d’occhio le ultime tecniche utilizzate dai truffatori. Ci sono pagine di Facebook e gruppi come Facecrooks che sono dedicati a individuare e smascherare queste truffe.