Facebook podrška korisnicima omogućena hack računa

Facebookov tim za korisničku podršku pomoći će nekome da provali u vaš račun.

Korisnik Reddit SquidWhale tvrdi da je netko mogao promijeniti adresu e-pošte, lozinku i postavke dvofaktorske provjere autentičnosti njegovog Facebook računa jednostavnim oponašanjem u porukama timu za korisničku podršku.

Poruka nije ni poslana s adrese e-pošte koja je korištena za Facebook račun, a predstavnik korisničke podrške prihvatio je neispravnu identifikaciju nakon što je od hakera zatražio da dokaže da im je račun stvarno pripadao.

To je sve što je hakeru bilo potrebno za pristup računu. Nakon što je to učinio, promijenio je sve podatke za prijavu, izbrisao nekoliko stranica na Facebooku posvećenih poslu vlasnika računa i poslao pic picku zaručniku zakonitog vlasnika.

Čitava afera trajala je četiri sata od početka do kraja. Nije bilo važno da haker nije imao adresu e-pošte ili zaporku vlasnika računa. K vragu, nije ni bilo važno da je vlasnik računa uključio autentifikaciju u dva faktora.

Važno je samo to što je korisnička podrška Facebooka bila spremna promijeniti te postavke unatoč svim crvenim zastavama - slanjem e-pošte s pogrešne adrese, tvrdeći da nema telefon, dajući pogrešan ID - koji se pojavio.

Sve je to zahvaljujući tehnici socijalnog inženjeringa. Umjesto razbijanja šifriranja, krađe podataka ili na drugi način tehničkog čarobnjaštva za pristup nečijim informacijama, socijalni se inženjering oslanja samo na uvjerljivu laž.

Samo pogledajte ovaj videozapis od fuzija "Prava budućnost", koja prikazuje ženu koja dobiva pristup telefonskom računu urednika Kevina Roosea samo s YouTube snimkom bebe koja plače i neke dramske glume:

Facebook nije jedina tvrtka ranjiva na socijalni inženjering. Ranije ove godine, Amazon je optužen za davanje osobnih podataka klijenta nekome tko ih je oponašao.

U novije vrijeme ukraden je Twitter račun aktivista za građanska prava DeRay McKessona putem socijalnog inženjeringa. Haker se pozvao kao McKesson na poziv Verizonu, promijenio SIM karticu povezanu s njegovim brojem, a zatim je upotrijebio taj pristup kako bi zaobišao autentifikaciju s dva faktora na McKessonovom računu.

SquidWhale je na kraju dobio pristup svojim računima. McKessonov Twitter račun mu je vraćen. Ali to ne mijenja činjenicu da su izgubili pristup važnim uslugama iako su se pokušali obraniti.

Toliko ljudi može učiniti kako bi se zaštitilo na mreži. Koristite jake, jedinstvene lozinke. Ne koristite jednu od ovih užasnih zaporki. Postavite autentifikaciju s dva faktora. Izbjegavajte nesigurne veze koje bi mogle omogućiti nekome presresti podatke za prijavu dok su u tranzitu.

Vlasnik tog posla je sve to učinio. Ipak, sve dok timovi za korisničku podršku mogu mijenjati račune ili tražiti osjetljive informacije uvijek će biti slaba veza u metaforičnoj ogradi oko osobnih podataka.

Facebook još nije odgovorio na zahtjeve za intervjue o ovom slučaju, ali ovu ćemo priču ažurirati kada se to dogodi.