Phishing za pomocą Facebooka – to prostsze niż ci się wydaje

Jedną z wciąż najpopularniejszych oraz świetnie sprawdzających się metod pozyskiwania danych logowania oraz haseł jest phishing, czyli podszywanie się pod inna stronę, na której wprowadzane są dane. Eksperci z Niebezpiecznika sprawdzili, czy za pomocą facebooka można dokonać tego typu ataku i wyniki eksperymentu są ciekawe i pewnie dla niektórych okażą się mocno zaskakujące.

Jak dokonać ataku?

Nic prostszego, ponieważ jako post na Facebooku można opublikować również własny aplet Flasha, czyli według polityki Facebooka „Self Hosted Object”. Zastosowany atrybut „AllowScriptAccess” nie pozwala jednak na klasyczne ataki mające na celu wykradzenie ciasteczek, jednak w aplecie może znaleźć się absolutnie każda treść, toteż można za jego pomocą stworzyć kawałki łudząco przypominające fragmenty Facebooka. I właśnie w ten sposób można dokonać ataku phishingowego na dowolnego użytkownika.

Eksperyment z niespodzianką

Na stronie Niebezpiecznika został wpisany film, który miał być w założeniu przeznaczony jedynie dla dorosłych odbiorców. W związku z czym po kliknięciu w post trzeba było zalogować się na swoje konto na Facebooku, niejako właśnie w ten sposób potwierdzając swój wiek oraz tożsamość. W pierwszej wersji eksperymentu zaraz po wklepaniu swoich danych w fałszywej formatce użytkownik był informowany o swojej wpadce, w drugiej był poproszony o ponowne wpisanie hasła pod pretekstem nieprawidłowości – na przykład ewentualnej literówki. Dzięki temu widać doskonale, jak sporo osób dało się nabrać i chętnie podało swoje dane do logowania – było to aż 30% wszystkich, do których dotarł post.

Dane nie były nigdzie wykorzystane

Jak przystało na bezpieczny eksperyment, chodziło jedynie o zebranie danych statystycznych oraz sprawdzenie możliwości przeprowadzenia ataku phishingowego za pomocą jednego z najpopularniejszych dzisiaj portali społecznościowych. Podawane hasła nie były nigdzie zapisywane, a jedynie liczone i zaznaczane ciągi liczb oraz cyfr, aby wiedzieć, którzy z użytkowników zdecydowali się  na podawanie swoich prawdziwych danych – to te osoby, które podały ciągi dłuższe niż 6 znaków, wymagane przez Facebooka oraz tych, którzy podali przypadkowe znaki – najczęściej poniżej 6 znaków. Niemniej jednak widać po tym eksperymencie, jak bardzo jesteśmy naiwni, jeśli chodzi o wyświetlane treści i w jak banalny sposób jesteśmy w stanie oddać nasze dane logowania przypadkowym osobom, które z pewnością znajdą sposób, żeby je wykorzystać z korzyścią dla siebie.