אורבן סקוט, אנליסט לפשעי מחשוב בחברת ESET מסביר על ההונאות השונות ברשת הפייסבוק ואיך להתמודד איתן
בשנים האחרונות הרשתות החברתיות, ובמיוחד פייסבוק, השיגו מה שאתרים, פורטלים ופורומים יכלו רק לחלום עליו - שיהיו להם עשרות ומאות מיליונים של אנשים המבקרים את האתרים שלהם על בסיס קבוע מתוקף העובדה שחלק מחיי החברה שלהם (או כולם במקרים מסוימים) נמצא במקום אחד. בהחלט חלום שהתגשם עבור מייסדי הרשת ועבור המפרסמים, אבל גם עבור כל הצורות והאופנים של 'הבחורים הרעים', כפי שאנחנו מכנים אותם בתחום אבטחת המידע, שהרוויחו פלטפורמה מכניסה ביותר לפעולותיהם המפקפקות. הגידול המהיר בפשיעה המקוונת הביא איתו תחום חדש של התמחות והסתגלות. לא רק לאנשי אבטחת המידע אלא גם לפושעי הרשת עצמם. הגישות הישנות לניצול גולשים תמימים כבר לא היו אופציה, ונולד הצורך במאמצים משותפים וגיוון על מנת להשיג תוצאות ורווח. אז נסו לדמיין את השילוב האפשרי של פשעים מקוונים שבו הודעות ספאם מקושרות לתוכנות ריגול, תוכנות הריגול גונבות סיסמאות שמאפשרות גישה לרשתות חברתיות, הגישה לרשתות החברתיות עם הסיסמא הגנובה מאפשרת לאותם 'בחורים הרעים' לפתות משתמשים נוספים ללחוץ על לינקים זדוניים שעושים עוד כל מיני נזקים שמשלשלים לכיסם הרבה כסף כמו הפצת ספאם, נוזקות, כתובות אינטרנט זדוניות, הונאות של "שלם לפי הקלקה", ועוד ועוד ועוד.
אז בואו נסתכל על כמה מהונאות הפייסבוק העיקריות שנתקלנו בהם עד היום ונראה מה אנחנו יכולים ללמוד מזה:
ספר הפרצופים (והשמות, והכתובות, ותאריכי הלידה, וכו')
ההונאות השונות ברשת החברתית הפופולארית מחזיר אותנו לראשית דרכה. בעיקר בגלל הגדרות האבטחה הלוקות בחסר (אם להיות עדינים) שלה. שנושא האבטחה היה ועדיין המקור העיקרי ל"עקיצות" נגד פייסבוק והוא ממשיך להיות נקודת מחלוקת עד עצם היום הזה למרות שנעשו שיפורים לכאורה בהגדרות האבטחה.
למעשה, כל אחד יכול לעשות חיפוש אחר אנשים בצורה אקראית, ואם המידע האישי שלהם הופיע בפרופיל, היה ניתן לאסוף אותו ולהשתמש בו על מנת לבצע כל מיני פשעים. דוגמא לפשע מאוד ישיר הייתה כשהמשתמש חשף שהוא לא יהיה בבית בזמן מסוים וה"חבר" הנחמד שלו ניצל את ההזדמנות כדי לעשות לו הפתעה ו"לנקות" לו את הבית.
אך פשעים מעין אלה הם מיעוט ברור. לעיתים קרובות יותר הפושעים המקוונים משתמשים ברשת החברתית לגניבת זהויות, סיסמאות, וניסיונות פישינג מתוחכמות שמשתמשות במידע אישי מפרופיל המשתמש כדי להפיל אותו בפח ולמסור מידע אישי או רגיש. אחת ההונאות היותר ידועות לשמצה בתחום הפישינג בפייסבוק ידועה בשם Londoning שבה ה"חבר" של הקורבן טען שהוא נשדד במהלך טיול בלונדון וכעת הוא זקוק נואשות למזומן כדי להסתדר. תאמינו או לא, הרבה מאוד אנשים נפלו בפח.
פיש-בוק
אחת ההונאות הראשונות בפייסבוק הייתה פישינג של סיסמאות. בהונאה הזו המשתמש מקבל הודעת אימייל שמעוצבת בדיוק כמו ההתראות האמיתיות של פייסבוק, ההודעה טוענת שהסיסמא שלך לא בסדר מאיזושהי סיבה ויש להחליף אותה או ליצור סיסמא נוספת. ההודעה הכילה לינק לדף שנראה בדיוק כמו דף הכניסה לפייסבוק ודרשה שהמשתמש יחליף את הסיסמא שלו וכדי לעשות זאת הוא נדרש לספק את הסיסמא הנוכחית שלו. למרות האזהרות הרבות של חברות האבטחה, מספר מזעזע של משתמשים נפלו קורבן להונאה ומסרו את הסיסמא שלהם.
סיסמא-בוק
אם לא די בכך שהמשתמשים לא היו זהירים מספיק ונפלו בפח בתרמית הפישינג הזו, חלקם גם לא היו חכמים מספיק כדי לא להשתמש באותה סיסמא גם באתרים אחרים. כתוצאה מכך חשבונות נוספים שיש לאותם המשתמשים ברשתות חברתיות אחרות או אפילו חשבונות אימייל נפרצו ונוצלו בכל מיני דרכים.
קוב פייס
קוב פייס, היפוך אותיות של פייסבוק, איתנו כבר משנת 2008. זוהי משפחה של נוזקות שמתפשטת באמצעות אתרים של מדיה חברתית כמו פייסבוק,מייספייס, טויטר ועוד. בגלגולה הנוכחי של הקובפייס המחשב הנגוע שולח הודעה לכל החברים של המשתמש שיצפו בסרטון (בד"כ מביך במיוחד) בכיכובם. אך כמובן כדי שהם יוכלו לראות את הסרטון הם צריכים להוריד תוכנה מיוחדת ואתם יכולים לנחש שלא מדובר בנגן סרטים. אחרי שהווירוס התמקם על המחשב הוא מנסה לגנוב פרטים כמו סיסמאות, מספר כרטיס אשראי ועוד.
ספאמ-בוק
היו מקרים בהם מודעות הפרסומת בפייסבוק נוצלו על ידי ספאמרים והכילו לינקים שהובילו לאתרים בעלי קוד זדוני. עד כמה שידוע לי היום קיימות בדיקות שפייסבוק עושה כדי לוודא שהמודעות לא מכילות קודים זדוניים ובנוסף זה עולה כסף לשים מודעות פרסומת בפייסבוק וזה לא חלק מהטקטיקה של ההאקר הממוצע. אבל עדיין אי אפשר לפסול את זה כאיום אפשרי.
אפפ-בוק
אפליקציות למיניהן עלולות להיות משהו כמו פצע מוגלתי. כל אחד יכול לכתוב אותן וכל אחד יכול להוסיף אותן. ופייסבוק, כמדיניות, שומרת מרחק ומתנערת מכל אחריות לנזק שהן עלולות לגרום, עם זאת אנשים נוהרים אליהן בהמוניהם. רוב האפליקציות דורשות ממך להקריב באופן מיידי את המידע האישי שלך, וכך השאריות האחרונות של פרטיות עפות מהחלון. כתובת האימייל שלך מתווספת לרשימת הכתובות של הספאמרים, ה"תחביבים" ו"תחומי העניין" שלך משמשים להתקפות של Social Engineering וכו' וכו'.
בוט-בוק
לאחרונה מתקבלים יותר ויותר דיווחים ממשתמשים על פעולות לא צפויות ולא רצויות שמתרחשות בחשבון הפייסבוק שלהם. כמו לדוגמה אפליקציות או לינקים שמגיעים מחברים אבל שהם לא באמת שלחו. מדובר בלינקים זדוניים שיכולים להדביק את המחשבים בתוכנות זדוניות אפילו אם רק פתחת את ההודעה ולא עשית like או התקנת את האפליקציה. דבר זה מוכיח לנו שההאקרים התחילו לכתוב תוכנות שמסוגלות לעשות מניפולציה לפייסבוק ולפונקציות שלה כדי להוציא לפועל את תוכניותיהם הזדוניות.
סמוך-על-בוק
הבעיה העיקרית בכל מה שהוזכר עד עכשיו נובעת מהעובדה שהמשתמשים סומכים על פייסבוק, מאמינים שהם בטוחים, ושהמידע שלהם זמין רק לעצמם ולאלה שהם בחרו כחברים. זה נראה כאילו אנשים לעולם לא מפקפקים בכך שהאפליקציה, הלינק או ההודעה שהם קיבלו מחבר באמת הגיעו מאותו חבר, או שקיימת הסכנה שזה בכלל היה יכול להגיע ממישהו אחר בעל כוונת פחות טובות ושיכול להיות פה משהו מסוכן.
אז האם אפשר להיות בטוחים בפייסבוק? התשובה היא כן. אבל צריך להיות חכמים ולהבין שהאבטחה שלנו היא בידיים שלנו ולא אצל אף אחד אחר. את הטיפים והאזהרות בטח שמעתם אלפי פעמים: אל תמסרו מידע אישי כמו תארי לידה, מספרי טלפון או מספרים אחרים. אל תחשפו איפה אתם, מתי אתם יוצאים לחופשה ולכמה זמן. תהיו חשדניים ותבינו שלא כל דבר שקיבלתם מחבר הוא בטוח, במיוחד אם מדובר באפליקציות שנראות לכם חשודות או לינקים שמבטיחים לכם תמונות חושפניות של דוגמניות מפורסמות.
הכותב הוא אמיר כרמי, ראש צוות התמיכה הטכנית בחברת קומסקיור, הנציגה הבלעדית בישראל של חברת ESET, מפתחת האנטי וירוס ESET NOD32 וחבילת האבטחה ESET Smart Security. קומסקיור מפעילה בארץ מוקד תמיכה ופתרונות טכניים בשפה העברית.
