Tutto ciò che devi sapere sullo strumento Facebook FBStalker

Facebook aiuta i marchi a parlare di fbstalker

Non è un segreto che Facebook sia stato impegnato a ridurre la privacy di cui godevi in ​​precedenza all'interno del sito. Questo è l'accordo che abbiamo fatto per continuare a essere utenti, ma ogni tanto la piaga di una nuova funzionalità o di un aggiornamento delle norme ci fa andare alle impostazioni del nostro account, cercando follemente di capire come proteggerci. 

O ti arrendi, arrendi e dai tutto a Facebook. 

L'ultimo lancio che ha reso più facile che mai scavare nei tuoi dati personali è Graph Search. Anche se divertente e incredibilmente rivelatore (nel bene e nel male), non abbiamo compreso appieno il potenziale e l'ampiezza di questo strumento, fino ad ora. È stato sviluppato un qualcosa chiamato FBStalker, che può scoprire quali sono i tuoi punti deboli e come sfruttarli, il tutto utilizzando la ricerca grafica e le informazioni raccolte dai tuoi amici. 

Se questo non ti spaventa solo un po ', dovrebbe. Ecco cosa devi sapere. 

Lo strumento FBStalker utilizza principalmente la ricerca grafica di Facebook per raccogliere dati, ma utilizza principalmente le informazioni che condividi sulle timeline dei tuoi amici.

Se non ti sei reso conto di quanto sia potente (e potenzialmente invasivo) il meccanismo di ricerca integrato di Facebook, allora questo è il tuo problema principale proprio lì. Non lo sottolineeremo mai abbastanza, ma dovresti davvero stare attento alle cose che condividi sui siti di social media come Facebook, soprattutto ora che un'importante funzione che ti consente di impedire che il tuo account sia ricercabile è stata definitivamente chiusa.

FBStalker è uno script Python sviluppato da Keith Lee, un analista con sede a Singapore per Trustwave, una società che protegge i dati e previene i rischi per la sicurezza dei propri clienti. Funziona utilizzando le informazioni prontamente disponibili non solo sul tuo profilo, ma anche sui tuoi amici. Da questi dati, lo strumento può analizzare le interazioni tra gli utenti e dedurre un elenco dei tuoi amici più stretti da Mi piace, commenti, tag e check-in che pubblichi sulle pagine di altre persone.

Lo strumento FBStalker è stato sviluppato per aiutare i clienti a testare le proprie impostazioni di sicurezza.

Anche se la descrizione dello strumento può sembrare orribile, la società che lo ha sviluppato lo usa effettivamente per sempre. "[Abbiamo] condotto una campagna di phishing con FBStalker semplicemente utilizzando la posta elettronica", condivide Jonathan Werrett, consulente di gestione per Trustwave con sede a Hong Kong, anche co-ricercatore e consulente per il progetto. “L'azienda con cui lavoravamo voleva sapere dove la loro sicurezza era più debole. Attraverso FBStalker, siamo stati in grado di identificare che la moglie di un dipendente (tramite associazioni) aveva "apprezzato" uno specifico studio di pilates nella zona. Siamo quindi stati in grado di determinare che era proprietaria dello studio di pilates, il che ci ha fornito un ottimo argomento per iniziare a parlare con lei via e-mail. L'obiettivo era vedere se avrebbe aperto un'e-mail sull'argomento, che potrebbe quindi essere un documento dannoso ".

Secondo una notizia, Trustwave ha inviato un'e-mail contenente un video, che la moglie ha aperto. L'allegato ha scatenato malware sul suo computer, che accidentalmente conteneva password lasciate lì dal suo precedente proprietario, suo marito (che aveva assunto Trustwave). Il malware ha infettato con successo il computer e ha fornito a Trustwave l'accesso completo a queste password.

"Tradizionalmente, gli hacker hanno utilizzato attacchi e-mail di" phishing "basati su argomenti generici per cercare di attirare l'interesse di una vittima", spiega Werrett. “Usano questi argomenti con l'obiettivo di indurre la vittima a fare clic su un collegamento o ad aprire un payload dannoso. Abbiamo riscontrato che gli attacchi di phishing in natura utilizzano argomenti relativi a tecnologie, fonti di notizie a cui le persone di una specifica azienda sarebbero interessate o argomenti come "Dettagli sui salari aziendali per settembre". "

Werrett sottolinea anche che la maggior parte dei siti di social media fornisce "intelligenza open source" che può essere potenzialmente utilizzata dagli hacker per creare attacchi molto specifici di "pesca subacquea", simili al precedente esempio di pilates.

FBStalker ha la capacità di esporre tutti i tipi di informazioni open source pertinenti che in precedenza pensavi fossero insignificanti.

Qualsiasi aggressore online in missione può utilizzare Facebook come risorsa per fingere di sapere molto su di te, incoraggiandoti così ad aprirti all'hacking. Come misura preventiva, FBStalker è in grado di utilizzare le informazioni sulla tua Timeline per scoprire a che ora del giorno pubblichi di solito su Facebook e sei più attivo sul sito - questo è spesso legato al tempo che passi a rispondere a e-mail o messaggi istantanei, una parte della tua routine che potrebbe rivelarsi utile per i truffatori per prenderti di mira tramite la corrispondenza online.

FBStalker può anche scoprire che tipo di dispositivo mobile utilizzi, in base alle applicazioni che hai utilizzato all'interno del sito social. Inoltre, possono anche scoprire dove ti trovi in ​​base ai dati di geolocalizzazione che il tuo telefono collega ad alcune delle tue attività della cronologia. Questo può potenzialmente portare gli hacker a scoprire quanto spesso ti trovi in ​​un determinato luogo e all'incirca a che ora. Le persone possono conoscere il tuo programma di lavoro e ricostruire l'intera giornata. Possono aprire un negozio in uno dei tuoi normali ritrovi e creare quello che Werrett chiama un "hotspot wireless malvagio", progettato per acquisire le credenziali dell'account o altri dati sensibili quando specifiche vittime si connettono ad esso.

Tutte queste informazioni, solo dal tuo smartphone e dal tuo account Facebook.

Anche quando pensi che le tue impostazioni sulla privacy siano di prim'ordine, finché dai alla tua lista di amici l'accesso ai tuoi contenuti, sei vulnerabile.

Conosci l'adagio "Una catena è forte quanto il suo anello più debole"? Si applica molto alla sicurezza di Facebook: anche se hai completamente bloccato il tuo profilo Facebook, l'unica cosa che non puoi proteggere è la tua foto del profilo Facebook. Gli amici spesso commentano la tua nuova foto del profilo o fanno clic su "mi piace". "Questo tipo di attività può essere acquisito e analizzato da FBStalker e aiuta a 'decodificare' i tuoi amici di Facebook", afferma Werrett. Una volta che FBStalker sa chi sono i tuoi amici, può scoprire ancora di più su di te.

Trustwave ha anche sviluppato uno strumento simile chiamato GeoStalker, che è esattamente quello che sembra.

GeoStalker analizza i contenuti pubblicati su Foursquare, Flickr, Instagram e Twitter, praticamente qualsiasi sito sociale che possa contenere informazioni di geolocalizzazione. Lo strumento individua questi post e li traccia su una mappa di Google, consentendo a uno dei tester di Trustwave di misurare l'attività online in aree specifiche.

Dopo che GeoStalker ha trovato gli account delle persone che hanno pubblicato da una posizione specifica, lo strumento mette in correlazione questi dati con altri siti social come Youtube, Google+, Linkedin, Facebook, Twitter, Instagram e Flickr per trovare più account a cui è possibile connettersi gli utenti.

"Siamo stati assunti da un cliente di servizi pubblici per testare la sicurezza fisica di un sito industriale e vedere se saremmo stati in grado di accedere alle loro reti di controllo", racconta Werrett. “Con Geostalker, Trustwave ha identificato un account di social media che pubblicava molte foto mentre si trovava sul posto e si è scoperto che era un membro dello staff. Trustwave ha quindi condotto un attacco di phishing per cercare di convincere il bersaglio ad aprire un'e-mail che ci avrebbe dato accesso alle informazioni o alla rete dell'azienda ".

Sebbene Trustwave abbia progettato lo strumento principalmente per aiutare l'utente a cercare gli account sui social media di persone che lavorano in una determinata posizione, rivela un problema molto più grande: potrebbe non essere una buona idea taggare la tua posizione tutto il tempo sui tuoi post di Instagram , Dopotutto. E seriamente, tutti devono smettere di controllare i propri luoghi di residenza e di etichettarlo "la mia culla". Stai chiedendo di essere derubato, o peggio. 

Qualunque cosa tu ei tuoi amici pubblichiate su Facebook potrebbe (e probabilmente sarà) essere usata contro di voi.

Seriamente, se c'era una lezione da portare a casa da tutto questo, è stare molto attenti a ciò che tu e i tuoi amici state postando su Facebook (così come su altri siti di social media - e sì, lo ripetiamo di nuovo). Bloccare le impostazioni sulla privacy non dovrebbe essere l'unico passo da compiere per garantire la sicurezza delle informazioni.

Trustwave consiglia inoltre di fare attenzione a chi accetti come contatti su questi siti e di avvisare i tuoi amici più attivi online che lasciano i loro profili pubblici al fatto che non stanno solo mettendo a rischio la loro privacy, ma anche la tua. Infine, disabilita l'accesso alla posizione all'interno delle applicazioni dei social media che utilizzi sui tuoi dispositivi mobili.

Per ora, solo gli utenti con macchine Linux possono utilizzare lo strumento FBStalker.

Tuttavia, dal suo rilascio la scorsa settimana, i membri della comunità di sviluppatori hanno contattato il team e sono interessati a provare a trasferire gli strumenti su Windows. Fino ad allora, sei limitato a un PC che supporta Linux e alcune conoscenze generali di codifica (l'esperienza Python aiuterà). Abbiamo dato un'occhiata allo script da un programmatore e ha visto che mentre chiunque può andare su Github e scaricare lo script, gli verrà richiesta una password utente prima di analizzare un profilo. Ciò significa che tutto ciò di cui hai bisogno per eseguire una scansione su chiunque è un accesso a Facebook.

Almeno per ora; chissà se Trustwave lo svilupperà in un programma che scansiona tutti i profili, che tu abbia un account Facebook o meno. O, ancora più spaventoso, ora che il codice è disponibile, chiunque può creare uno strumento ancora più efficiente utilizzando una tecnologia più sofisticata e che infrange la privacy. Tutto ciò che FBStalker fa è automatizzare le query di ricerca grafica utilizzando le informazioni già impostate come pubbliche per cominciare, ma considerando che le persone di solito tengono in considerazione le notifiche, i tag e le stampe fini, questo tipo di dati è sicuramente foraggio del crimine informatico. In conclusione: solo perché i bravi ragazzi hanno sviluppato prima questo strumento (o almeno l'hanno annunciato) non significa che i truffatori là fuori non stiano facendo la stessa identica cosa.