Facebook heeft het de laatste tijd zwaar te verduren gehad: Cambridge Analytica (en anderen), desinformatiecampagnes, datalekken – het slechte nieuws lijkt dik en snel te komen. Het is dan ook niet verwonderlijk dat de veiligheid van ons ooit zo geliefde socialemediaproduct onder de loep is genomen.
Ondanks dat Facebook uit de gratie is geraakt bij het publiek, is het nog steeds het dominante social media-platform met meer dan twee miljard actieve maandelijkse gebruikers, en dat is nog exclusief Instagram, Messenger en Whatsapp.
Met zoveel mensen die het platform gebruiken, is het belangrijk om na te denken over de veiligheidszorgen van gebruikers, en bij uitbreiding bedrijven, en hoe bedreigingen kunnen worden beperkt.

Waarom zouden bedrijven zich zorgen moeten maken over Facebook?

Als bedrijfseigenaar of IT-professional denkt u waarschijnlijk dat Facebook niet echt een probleem is voor uw organisatie, u hebt het geblokkeerd op het netwerk, wat kan het kwaad?
Wel, er zijn directe en indirecte bedreigingen.
Of de demografie van uw personeelsbestand er ook toe doet, het is waarschijnlijk dat de meerderheid van uw werknemers een Facebook-account zal hebben. Cynisch als ik ben, kan dit op zichzelf uw organisatie in gevaar brengen.
Het is verbazingwekkend hoeveel informatie mensen bereid zijn prijs te geven op een zeer openbaar forum. U kunt achterhalen mensen banen, de huidige locatie, onderwijs, politieke overtuigingen, interesses, verjaardagen, familie en relaties, de lijst gaat maar door.
Zonder de juiste privacy- en beveiligingsinstellingen is het voor een hacker heel gemakkelijk om wat verkenningswerk te doen, sociale-mediaprofielen samen te voegen en een phishingaanval te bedenken die op de persoon is toegesneden. Er zijn voorbeelden van een eenvoudige statusupdate die ertoe leidde dat gebruikers werden afgeperst, bedreigd met een vuurwapen en hun huizen werden leeggeroofd. Ja, dit zijn civiele voorbeelden, maar het zou gemakkelijk kunnen worden toegepast op de bedrijfsomgeving.
Bedrijven moeten ervoor zorgen dat werknemers niet onbedoeld gevoelige informatie prijsgeven – iets dat moet worden meegenomen in het bredere beveiligings- en social-mediabeleid van een organisatie.

Nep Facebook-profielen

Veel van de frauduleuze of ‘niet-authentieke activiteit’ op Facebook kan worden toegeschreven aan nepprofielen en -pagina’s. Ze vormen een overlast en een voortdurend probleem voor het platform.
In het eerste kwartaal van 2018 heeft Facebook 583 miljoen nepprofielen verwijderd, dat zijn er bijna 6,5 miljoen per dag.
De Facebook newsroom wordt overspoeld met persverhalen over hoe ze gecoördineerde inauthentieke activiteit bestrijden in landen als Brazilië, Iran en Myanmar, activiteit die propaganda en politieke onrust verspreidt in deze naties. Ondanks succes met campagnes op staatsniveau, worden de bedreigingen die de bredere gebruikersbasis treffen niet aangepakt.
Iedere dag zien we verhalen in het nieuws over nieuwe phishing-aanvallen op Facebook, waarbij de kwetsbaren het doelwit zijn en worden uitgebuit. Beter optreden tegen kwaadwillenden is een must en als dat niet gebeurt, zal de toch al aangetaste reputatie van Facebook verder worden geschaad.
Facebook is zich er terdege van bewust dat er meer moet worden gedaan, maar gebruikers kunnen zichzelf niet van hun verantwoordelijkheid ontslaan, ze moeten veilige surfgewoonten aanleren en online interacties met een gezonde portie scepsis benaderen. Ten eerste moeten gebruikers weten hoe ze een nep Facebook-profiel kunnen herkennen.

Hoe spot je een nepprofiel op Facebook?

Ofin, sociale media zijn ontworpen om te netwerken, in feite is een deel van de missie van Facebook ‘om de wereld dichter bij elkaar te brengen’. Op een gegeven moment zullen gebruikers op vreemde profielen stuiten, dat is de aard van het platform, dus is het belangrijk om de kenmerken van nepprofielen te kunnen identificeren:

1. Gebruik van andermans foto’s en informatie

Het gebruik van andermans foto’s en informatie is een veelgebruikte tactiek van nep-Facebookprofielen, het is tenslotte de bedoeling om onder een schuilnaam te werken. Foto’s zijn meestal het grootste weggevertje. Het zijn vaak aantrekkelijke foto’s, foto’s van beroemdheden of algemene stockfoto’s. Er is een eenvoudige manier om erachter te komen of de foto’s legitiem zijn gekoppeld aan die account.
We kwamen dit Facebook-profiel tegen op de Facebook-pagina van een datingsite:

Tijdens het omgekeerd zoeken naar afbeeldingen van een aantal foto’s op het profiel, was het overduidelijk dat de foto’s van een model waren.

2. De naam in de URL komt niet overeen met de naam van het Facebook-profiel
Bij het instellen van uw Facebook-profiel is de URL uw Facebook-ID. De URL moet er ongeveer zo uitzien:

Zoals bij alles op Facebook kunt u uw URL aanpassen Een URL die niet overeenkomt met de naam van het profiel kan een teken zijn dat het om een nep of gehackt account gaat. De naam van het profiel hieronder is bijvoorbeeld Sarah Collins, maar de naam in de URL is Oking Akin.

3. Dubieuze profielinformatie
Het komt zelden voor dat u op een profiel stuit dat ‘compleet’ is, Facebook heeft zoveel velden dat het moeilijk is om bij te blijven. Toch moet je op je hoede zijn voor inconsistenties in de profielinformatie. Dit is het introvakje van een ander Facebook-profiel dat we hebben gevonden:

Dit specifieke account werkt bij modellenbureaus in Zuid-Afrika, heeft in Australië gestudeerd en woont in Californië. Misschien is ze een internationaal jetsettend model dat op zoek is naar liefde op Facebook, maar dat is onwaarschijnlijk.
4. Onregelmatige profieltijdlijn/geschiedenis
Bij elk account zijn er waarschijnlijk hiaten in de activiteiten en geschiedenis, maar gebruikers moeten uitkijken naar inconsistenties. Een profiel dat we hebben gevonden, ging naar de universiteit voordat hij naar de middelbare school ging.

1. Plaatsen van inhoud van lage kwaliteit

Bij het doornemen van de Facebook-pagina’s van online datingdiensten vertoonden de nepaccounts een duidelijk gedragspatroon – openbare introducties en aankondigingen dat ze op zoek zijn naar een relatie. Op zichzelf lijken de opmerkingen misschien vrij onschuldig, maar als je in de profielen graaft en vergelijkt met andere activiteiten, wordt het heel duidelijk.

Wat zijn de meest voorkomende phishing-zwendelpraktijken op Facebook?

Romantische zwendel

Romantische zwendel is zeker niet nieuw en staat ook niet alleen op Facebook, maar Facebook is een platform dat perfect is voor oplichters die dit soort phishingaanvallen uitvoeren.
De markt voor online daten heeft de afgelopen jaren een hoge vlucht genomen; mensen zijn veel comfortabeler geworden met het concept ervan en het stigma lijkt te zijn verdwenen. Online dating bedrijven zoals Tinder, Match.com en Bumble zijn ontstaan met hun eigen applicaties en websites om tegemoet te komen aan hun gebruikers, en op sleeptouw, omvangrijke sociale media aanwezig.
Minder ‘officiële’ groepen en pagina’s zijn opgedoken om tegemoet te komen aan een breder scala van dating voorkeuren.
De aard van sociale media en online dating diensten betekent dat er een vervaging tussen de twee, beide zijn inherent sociaal en vertrouwen op interactiviteit tussen gebruikers.
Dus gingen we op jacht naar nepaccounts om te zien wat we konden ontdekken.
Ziftend door de opmerkingen van de Facebook-pagina van Tinder, zagen we tekenen dat er nepprofielen aan het werk waren. In de context van de pagina lijkt de onderstaande opmerking misschien vrij onschuldig, maar iets leek een beetje nep, dus groeven we in het profiel.
Het profiel zelf heeft alle kenmerken van een nepaccount: beperkte tijdlijn van activiteiten en informatie, dubbele foto’s, interesses zeer gericht op dating en vrachtwagenchauffeurs en is ook gevestigd in Texas, dat is geïdentificeerd als een broeinest voor romantische oplichting in de recente geschiedenis.
Bij het zoeken naar een omgekeerde afbeelding van een van de foto’s op de account, kun je zien dat de afbeelding van het profiel is geïndexeerd met een Twitter-account en voorkomt op gerelateerde accounts, waardoor het waarschijnlijker wordt dat dit een nepprofiel is…

Het duurde niet lang om deze nepaccount te vinden, en het was ook niet het enige geval. We hebben de commentaren bekeken en kwamen er nog een aantal tegen:

De Facebook-pagina van Match.com heeft met hetzelfde probleem te kampen. Na een snelle scan van de opmerkingen op de pagina vonden we dit profiel:

Op het eerste gezicht lijken deze profielen misschien onschuldig. Ze dragen alleen maar bij aan een steeds groter wordende hoeveelheid zinloos geklets op het platform, maar ze kunnen ook de voorloper zijn van het aanmaken van accounts voor online datingapps als Tinder, Happn en Bumble, die allemaal Facebook gebruiken om informatie te verzamelen en gebruikers te verifiëren.
Typisch zijn romance scams een vorm van social engineering-aanvallen die het vertrouwen van hun doelwitten proberen te winnen, en hen vervolgens manipuleren om geld, geschenken of gevoelige informatie te overhandigen. Wees op uw hoede voor gebruikers die:

• te sterk aankomen, je in korte tijd overladen met liefde en genegenheid
• proberen het gesprek naar een privékanaal te verplaatsen en weg van het oorspronkelijke domein
• vragen veel persoonlijke informatie, maar zijn zelf terughoudend om veel weg te geven
• zijn niet bereid om face to face af te spreken, videobellen en ontwijken in gesprekken in het echte leven
• verzinnen een reden voor u om geld of geschenken te sturen.

Giveaway &prijsoplichting

Mensen houden van gratis spullen, daarom zijn weggeefacties een effectief marketinginstrument op sociale media. Het is dan ook niet verwonderlijk dat oplichters hun toevlucht nemen tot deze tactiek om persoonlijke informatie van gretige deelnemers los te peuteren.
We zochten op Facebook op ‘weggevertje’ en het duurde niet lang voordat we onze eerste verdachte post tegenkwamen.
Deze speciale weggeefactie lijkt een beetje te mooi om waar te zijn.
De link brengt gebruikers naar de blogspotpagina: https://new-yingtoying.blogspot.com/, een gratis blogging platform van Google. .

Als de gebruiker zowel op de knop ‘registreer u nu gratis’ als op de knop ‘lid worden’ klikt, komt hij via een reeks omleidingen op dezelfde pagina terecht.

Niet alle oplichtingspraktijken zijn zo duidelijk.
Er zijn oplichtingspraktijken geweest waarbij vouchers voor Primark, Norwegian Air en Virgin Atlantic-vluchten werden weggegeven, waarbij de laatste gebruikmaakte van punycode om mensen te misleiden.
Zie ook advertenties niet over het hoofd. Het is niet omdat het een advertentie is die is ‘doorgelicht’ dat het geen oplichterij is.
Als je een wedstrijd ziet voor een reis naar het Caribisch gebied, kom je natuurlijk in de verleiding, maar let op wedstrijden die:

• te mooi zijn om waar te zijn (zoals de bovenstaande)
• gebruikers naar verdachte URL’s leiden (bijv. niet-https, bedrieglijke domeinen, geforceerde omleidingen)
• vragen om te veel informatie of ‘engagement’ (bijv. tag 10 vrienden en deel op al je social media-accounts) van degenen die meedoen
• vraag een inschrijfgeld om mee te doen aan de prijstrekking
• worden gepromoot door een account met veel prijsvragen zonder duidelijk teken van winnaars

Facebook-pishingmails

We kennen allemaal de phishingmails. Filtersystemen zijn verfijnd genoeg geworden dat we de meeste niet zien, maar soms glippen ze er doorheen.
Onveranderlijk beweren phishing-e-mails dat ze van de ondersteuning of beveiliging zijn en doen ze alsof ze van grote bedrijven afkomstig zijn. Ze volgen dezelfde lijnen van social engineering – uw account is gehackt, controleer uw wachtwoord enzovoort. Het is zeker niet de meest geraffineerde of de meest verleidelijke e-mailzwendel. Het adres van de afzender is niet het typische Facebook-domein voor e-mail (@facebookmail), de e-mail zelf is niet echt logisch en er is niet echt veel om het potentiële slachtoffer te lokken. Ik denk niet dat veel mensen zich door deze e-mail zullen laten misleiden.
Als u niet zeker bent over de geldigheid van een e-mail van Facebook, kunt u altijd de e-mails controleren die Facebook u heeft gestuurd. U kunt hiertoe toegang krijgen door naar de instellingen op uw Facebook-profiel te gaan, beveiliging en inloggen en vervolgens naar beneden te scrollen voor geavanceerde beveiliging:

Wat doet Facebook om gebruikers te beschermen?

Het is een ongekende uitdaging voor Facebook, het controleren van twee miljard gebruikers op een platform dat is ontworpen om mensen bij elkaar te brengen en dat gebruikmaakt van een veelheid aan zich voortdurend ontwikkelende technologieën – het is geen wonder dat Facebook worstelt om het probleem op te lossen.
Het probeert het echter wel.
De socialemediagigant heeft meer dan 20.000 werknemers die zich bezighouden met beveiliging, maar om elke post, account en advertentie op de site door een mens te laten beoordelen, zou alleen al gezien het volume onrealistisch zijn. Het zou ook de manier veranderen waarop mensen Facebook gebruiken; als je wist dat iemand alles zou beoordelen wat je op het platform deed, zou je waarschijnlijk je gedrag filteren.
Facebook heeft een integriteits- en authenticiteitsbeleid opgesteld om oplichters die actief zijn op het platform te ontmoedigen, maar zoals met de meeste van dit soort beleid, lijkt het een flinterdun afschrikmiddel.
Daarom wendt Facebook zich tot kunstmatige intelligentie (AI) om veiligheidsproblemen op te lossen.
AI is de technologie in de mode, schijnbaar de remedie voor alle moderne kwalen, maar het heeft wel zin.
Facebook heeft veel succes gehad met de inzet van Microsofts PhotoDNA-technologie, die oorspronkelijk werd geïntroduceerd om kinderporno van het platform te verwijderen en verder werd ontwikkeld om andere ongewenste inhoud te identificeren.
Hoewel Facebook dagelijks miljoenen nepaccounts kan blokkeren, erkent het de noodzaak om oplichters te detecteren die aan de eerste screening ontsnappen. Machine-leertechnieken worden getraind op eerder geleerde oplichtingspraktijken, ongeveer op dezelfde manier waarop MI:RIAM wordt gebruikt om mobiele bedreigingen te detecteren. Als een account ervan wordt verdacht niet authentiek te zijn, zal het een aantal tests moeten doorstaan om de geloofwaardigheid te peilen.

Hoe kunnen gebruikers nog meer veilig blijven op Facebook?

De gebruikers van Facebook kunnen er niet op vertrouwen dat het platform zelf zorgt voor goed bestuur en toezicht, ze moeten zelf verantwoordelijkheid nemen voor hun veiligheid. Er zijn een aantal beveiligingsfuncties op Facebook die kunnen worden ingeschakeld en regelmatig gecontroleerd om de persoonlijke veiligheid te verbeteren, waaronder privacybeheer, tweefactorauthenticatie (2fa), inlogwaarschuwingen en apparaatbeheer.
Daarnaast heeft Facebook rapportagefuncties in het platform ingebouwd om gebruikers te helpen bij zelfcontrole.
Het is ook belangrijk om de nieuwste technieken die door oplichters worden gebruikt, in de gaten te houden. Er zijn Facebook-pagina’s en groepen, zoals Facecrooks, die zich bezighouden met het opsporen en ontmaskeren van deze zwendelpraktijken.