Wielkie zamieszanie na Facebooku
Atakujący skorzystał z phishingu – metody starej jak świat. Spreparował stronę główną portalu Facebook, a do swoich ofiar wysłał maila z propozycją umieszczenia na danym fanpage’u przygotowywanych przez niego treści. Po otworzeniu fałszywego linka, administratorom ukazywała się fałszywa strona główna Facebooka wraz z okienkiem logowania. Wprowadzone dane były automatycznie przesyłane do atakującego. W ten sposób zdobył on loginy i hasła do facebookowych stron kilku znanych firm.
Ofiarą padł między innymi profil Gazeta.pl, na którym wczoraj mogliśmy przeczytać dość nietypowy wpis o treści: „G***O PRAWDA, mówi prezes RZĄDU”. Dzięki administracji Facebooka, gazeta odzyskała już dostęp do swojego profilu, a w jednym z dzisiejszych artykułów przeprosiła użytkowników Facebooka za wczorajsze niecenzuralne wpisy.
O ile duże firmy nie będą miały raczej problemu z odzyskaniem swoich profili, o tyle właściciele prywatnych fanpage’y mogą spotkać się z większymi trudnościami. W tym wypadku facebookowa ścieżka reklamacyjna jest dużo bardziej skomplikowana, a jedyną opcją może być całkowite zamknięcie profilu, co przy dużej ilości „fanów” jest dość bolesnym rozwiązaniem.
Na razie nie udało się zlokalizować pseudo-hakera, ale – jak podaje serwis Niebezpiecznik.pl – administracja Facebooka dysponuje jego adresem IP (okolice Włocławka), a sprawą ataku zajęła się już policja.
Jak nie dać się złowić?
Jak zabezpieczyć się przed phisingowymi atakami? Najważniejsza jest ostrożność. Po otworzeniu linka z niepewnego źródła należy zwrócić uwagę na pasek adresu. Phishingowcy często stosują sprytne sztuczki wprowadzając drobne – często niewidoczne na pierwszy rzut oka – zmiany w adresie strony. Wystarczy dopisać łącznik w adresie gazeta-prawna.pl i już kierowani jesteśmy na stronę, która nie ma nic wspólnego z naszym serwisem.
W przypadku administratorów facebookowych fanpage’y pomocne może być również włączenie podwójnego uwierzytelnienia. W tym wypadku nawet, gdy atakujący przechwyci nasz profil, nie będzie mógł wykonać żadnych działań, gdyż będzie potrzebował dodatkowego kodu weryfikującego, który wysyłany jest SMS-em na nasz numer telefonu lub e-mailem.