Не секрет, що Facebook зайнятий зменшенням конфіденційності, якою ви раніше користувалися на сайті. Ось угоду, яку ми уклали, щоб продовжувати бути користувачами, але щораз частіше бич нової функції або оновлення політики надсилає нас до налаштувань нашого облікового запису, шалено намагаючись зрозуміти, як захиститися.
Це, або ти здаєшся, здаєшся і віддаєш все Facebook.
Останній запуск, який як ніколи полегшив копання ваших особистих даних, - це Graph Search. Хоча це весело і неймовірно показово (в кращу чи гіршу сторону), ми до кінця не зрозуміли потенціал та масштаби цього інструменту - дотепер. Було розроблено щось, що називається FBStalker, і воно може з’ясувати, які у вас слабкі сторони та як їх використовувати, використовуючи пошук за допомогою графіків, а також інформацію, отриману від ваших друзів.
Якщо це вас трохи не лякає, це повинно. Ось що вам потрібно знати.
Інструмент FBStalker в основному використовує пошук графіків Facebook для збору даних, але здебільшого використовує інформацію, якою ви ділитесь на часових шкалах своїх друзів.
Якщо ви досі не зрозуміли, наскільки потужним (і потенційно інвазивним) є вбудований механізм пошуку Facebook, то це ваша основна проблема саме тут. Ми не можемо наголосити на цьому достатньо, але ви дійсно повинні бути обережними щодо матеріалів, якими ви ділитесь на сайтах соціальних медіа, таких як Facebook - особливо зараз, коли важлива функція, яка дозволяє уникнути пошуку вашого облікового запису, назавжди закрита.
FBStalker - це скрипт на Python, розроблений Кітом Лі, сингапурським аналітиком Trustwave, компанії, яка захищає дані та запобігає ризикам безпеки для своїх клієнтів. Це працює, використовуючи інформацію, доступну не лише у вашому профілі, але й у ваших друзів. На основі цих даних інструмент може аналізувати взаємодію між користувачами та виводити список ваших близьких друзів за вподобаннями, коментарями, тегами та реєстраціями, які ви публікуєте на сторінках інших людей.
Інструмент FBStalker був розроблений, щоб допомогти клієнтам перевірити власні налаштування безпеки.
Хоча опис інструменту може здатися жахливим, компанія, яка його розробила, насправді використовує його назавжди. «[Ми] провели фішинг-кампанію з FBStalker, просто використовуючи електронну пошту», - ділиться Джонатан Верретт, керуючий консультант Trustwave із Гонконгу, також співдослідник та консультант проекту. “Компанія, з якою ми працювали, хотіла знати, де їхня безпека найслабша. Завдяки FBStalker ми змогли встановити, що дружина працівника (через асоціації) «сподобалася» певній пілатес-студії в цьому районі. Потім ми змогли визначити, що їй належить пілатес-студія, що дало нам чудову тему, щоб почати спілкування з нею по електронній пошті. Мета полягала в тому, щоб дізнатись, чи не відкриє вона електронний лист на цю тему, який тоді може стати шкідливим документом ".
Згідно з повідомленням новин, Trustwave надіслала електронний лист із відео, яке дружина відкрила. Вкладений файл розв’язав шкідливе програмне забезпечення на її комп’ютері, який, до речі, містив паролі, залишені там попереднім власником, її чоловіком (який найняв Trustwave). Шкідливе програмне забезпечення успішно заразило комп’ютер і надало Trustwave повний доступ до цих паролів.
"Традиційно хакери використовують" фішинг "електронних атак на основі загальних тем, щоб спробувати зацікавити жертву", - пояснює Верретт. «Вони використовують ці теми з метою змусити жертву натиснути на посилання або відкрити шкідливий корисний товар. Ми спостерігали фішинг-атаки в дикій природі, використовуючи теми про технології, джерела новин, які зацікавили б людей у певній компанії, або такі теми, як "Інформація про заробітну плату компанії за вересень".
Верретт також зазначає, що більшість веб-сайтів у соціальних мережах надають "розвідку з відкритим кодом", яку потенційно можуть використовувати хакери для створення дуже специфічних атак "підводного полювання", подібно до попереднього прикладу пілатесу.
FBStalker має можливість викрити всі види відповідного інтелекту з відкритим кодом, який ви раніше вважали незначним.
Будь-який зловмисник, який здійснює місію в мережі, може використовувати Facebook як ресурс, щоб зробити вигляд, що знає про вас багато, тим самим заохочуючи вас відкрити себе для злому. Як запобіжний захід, FBStalker може використовувати інформацію на вашій шкалі часу, щоб дізнатись, в який час доби ви зазвичай розміщуєте публікації на Facebook і найактивніші на сайті - це часто пов’язано з часом, який ви витрачаєте на відповіді на електронні листи чи миттєві повідомлення, частина вашої рутини, яка може виявитися корисною для шахраїв для націлювання на вас через онлайн-листування.
FBStalker також може дізнатись, який тип мобільного пристрою ви використовуєте, на основі програм, якими ви користувались на соціальному сайті. Крім того, вони також можуть дізнатися, де ви знаходитесь, на основі даних про геолокацію, які ваш телефон приєднує до певної вашої діяльності на шкалі часу. Це потенційно може призвести хакерів до з’ясування того, як часто ви буваєте у певному місці та приблизно в який час. Люди можуть дізнатися про ваш графік роботи та скласти весь ваш повсякденний день. Вони можуть організувати покупки в одній із ваших звичайних відеокімнат і створити те, що Веррет називає "злою бездротовою точкою доступу", призначену для збору облікових даних облікових записів або інших конфіденційних даних, коли до неї підключаються конкретні жертви.
Вся ця інформація, лише зі вашого смартфона та вашого облікового запису Facebook.
Навіть коли ти подумайте ваші налаштування конфіденційності є першокласними, якщо ви надаєте списку друзів доступ до вашого вмісту, ви вразливі.
Ви знаєте приказку «Ланцюг настільки сильний, наскільки найслабша його ланка»? Це дуже стосується безпеки Facebook - навіть якщо ви повністю заблокували свій профіль Facebook, єдине, що ви не можете захистити, - це ваша фотографія профілю Facebook. Друзі часто коментують вашу нову фотографію профілю або натискають "подобається". "Цей тип діяльності може бути зафіксовано та проаналізовано FBStalker і допомагає" здійснити зворотне проектування "своїх друзів у Facebook", - каже Верретт. Як тільки FBStalker дізнається, хто ваші друзі, він може дізнатися про вас ще більше.
Trustwave також розробив подібний інструмент під назвою GeoStalker - саме так це звучить.
GeoStalker аналізує вміст, розміщений на Foursquare, Flickr, Instagram та Twitter - в основному будь-який соціальний сайт, який може містити інформацію про геолокацію. Інструмент визначає ці публікації та розміщує їх на карті Google, дозволяючи одному з тестувальників Trustwave оцінювати активність в Інтернеті у певних областях.
Після того, як GeoStalker знаходить облікові записи людей, які розміщували повідомлення з певного місця, інструмент взаємодіє ці дані з іншими соціальними сайтами, такими як Youtube, Google+, Linkedin, Facebook, Twitter, Instagram та Flickr, щоб знайти більше облікових записів, до яких можна підключити користувачів.
"Нас найняв комунальний клієнт, щоб перевірити фізичну безпеку промислового майданчика і перевірити, чи зможемо ми отримати доступ до їхніх контрольних мереж", - розповідає Верретт. “За допомогою Geostalker Trustwave визначила обліковий запис у соціальних мережах, в якому розміщувалося багато фотографій, перебуваючи в цьому місці, і виявилося, що це співробітник. Потім Trustwave провела фішинг-атаку, щоб спробувати змусити ціль відкрити електронний лист, який дав би нам доступ до інформації або мережі компанії ".
Хоча Trustwave в першу чергу розробив інструмент, щоб допомогти користувачеві шукати облікові записи соціальних мереж людей, які працюють у певному місці, він виявляє набагато більшу проблему: може зрештою, не буде гарною ідеєю постійно позначати своє місцезнаходження у своїх публікаціях в Instagram. А якщо серйозно, кожному потрібно припинити реєстрацію місця проживання та позначати це як “моє дитяче ліжечко”. Ви просите, щоб вас пограбували, або ще гірше.
Все, що ви та ваші друзі публікуєте у Facebook, може (і, можливо, буде) використовуватись проти вас.
Серйозно кажучи, якщо з усього цього був один урок, щоб бути обережним щодо того, що ви та ваші друзі публікуєте у Facebook (а також на інших сайтах соціальних мереж - і так, ми повторюємо це ще раз). Блокування налаштувань конфіденційності не повинно бути єдиним кроком для забезпечення безпеки вашої інформації.
Trustwave також рекомендує бути обережними щодо того, кого ви приймаєте як контакти на цих сайтах, і попереджати своїх більш активних в Інтернеті друзів, які залишають свої профілі загальнодоступними, про те, що вони не тільки ставлять під загрозу свою конфіденційність, але й вашу. Нарешті, вимкніть доступ до місцезнаходження в програмах соціальних мереж, якими ви користуєтесь на своїх мобільних пристроях.
На даний момент лише користувачі машин Linux можуть використовувати інструмент FBStalker.
Однак з моменту його виходу минулого тижня члени спільноти розробників звернулися до команди та зацікавлені в спробі перенести ці інструменти на Windows. До цього часу ви обмежуєтесь ПК, що підтримує Linux, та деякими загальними ноу-хау з кодування (досвід Python допоможе). Ми подивились програміста на сценарій, і він побачив, що, хоча кожен може перейти до Github і завантажити сценарій, перед аналізом профілю йому буде запропоновано ввести пароль користувача. Це означає, що все, що вам потрібно для сканування будь-хто - це вхід у Facebook.
Принаймні поки що; хто знає, чи Trustwave розробить його в програму, яка сканує всі профілі, незалежно від того, чи маєте ви обліковий запис у Facebook чи ні. Або, що ще страшніше, тепер, коли код уже є, кожен може створити ще більш ефективний інструмент, використовуючи більш досконалі технології, що порушують конфіденційність. Все, що робить FBStalker, - це автоматизувати графічні пошукові запити, використовуючи інформацію, яка для початку вже є загальнодоступною, але враховуючи, як правило, люди розслабляються щодо сповіщень, тегів та дрібних відбитків, цей тип даних, безумовно, є кормом для кіберзлочинності. Підсумок: те, що хороші хлопці вперше розробили цей інструмент (або, принаймні, оголосили про нього), не означає, що шахраї там не роблять точно того ж.
