Busca Social do Facebook é um "prato cheio" para ataques de phishing

Agora dados adicionais, como atualizações de status, fotos, check-ins e comentários também estarão disponíveis - o que contribui muito para desenvolver ataques direcionados.

Na segunda-feira (07), a rede social divulgou as últimas mudanças para o seu recurso Graph Search, uma ferramenta que permite aos usuários buscar por conteúdo específico na plataforma. Antes, a Graph Search era limitada a informações sobre o perfil de usuários ou páginas no site, mas agora dados adicionais, como atualizações de status, fotos, check-ins e comentários também estarão disponíveis. Enquanto esse recurso está sendo anunciado pela empresa como sendo algo bom, o risco criado por ela pode ser qualquer coisa - menos bom.

Esse novo fluxo de dados é uma potencial mina de ouro para os cibercriminosos desenvolverem campanhas de phishing e para atacantes mais experientes, porque as buscam agora podem focar em certos grupos de pessoas, de uma respectiva área, que possuem certos interesses, ou estão em uma relação, uma profissão específica, organização, tópico ou hobby.

É possível ainda filtrar os resultados por período, conseguir detalhes de comentários há tempos esquecidos e posts poderão ver a luz do dia mais uma vez.

Os dados retornados com a pesquisa são limitados apenas pelas configurações de privacidade do próprio post, ou pelas configurações gerais do usuários e de seus amigos. Infelizmente, muitas pessoas ainda possuem as configurações padrão. Com isso, seus perfis - incluindo posts - estão ajustados para compartilhar com uma audiência muito mais ampla do que a esperada.

Compartilhamento excessivo

"O Facebook tem uma longa tradição de 'convencer' os usuários a compartilharem mais informações, mesmo se eles não perguntam", disse à CSO Trevor Hawthorn, CTO da ThreatSim.

A ThreatSim é uma empresa que se concentra em spear phishing (e-mails maliciosos direcionados), e treinamento de conscientização. No início deste ano, a companhia divulgou estatísticas no relatório Verizon Business Data Breach Investigations Report, que mostram que o sucesso de uma determinada campanha de phishing não é difícil de seguir, observando que leva apenas três e-mails antes de um alvo clicar em um link ou anexo.

"Executar uma campanha com apenas três e-mails dá ao atacante a chance de 50% de conseguir ao menos um clique. Ao executar essa campanha duas vezes, a probabilidade sobe para 80% e enviar 10 e-mails se aproxima do ponto onde a maioria dos atacantes seria capaz de bater um carimbo 'garantido' na obtenção de um click ", explica o relatório da Verizon.

Metade dos cliques em uma determinada campanha de phishing acontece dentro de 12 horas do primeiro e-mail enviado, mas os cliques por si só não equivalem a um comprometimento de sucesso. 

No entanto, quanto mais focada a campanha, maiores as chances gerais de isso acontecer. É por isso que a pesquisa avançada no Facebook poderia causar problemas, e é por isso as organizações e as pessoas têm que ser conscientes e proteger o que postam.

"O Facebook é sempre útil para os atacantes reunirem informações sobre um alvo específico. A Graph Search permite que um atacante que não tem uma pessoa específica em mente procure e selecione vários alvos com base em critérios de pesquisa", disse Hawthorn.

As alterações na ferramenta de pesquisa permitirá a construção de mensagens de phishing de alta qualidade, utilizando critérios de busca específicos, que o alvo pode não ter noção de que estão disponíveis.

"Por exemplo, posso procurar agora por 'restaurantes asiáticos visitados por pessoas que trabalham para o Departamento de Estado dos EUA'. Isso produz resultados altamente específicos, que me permitem escolher entre uma lista de alvos", explicou Hawthorn.

Os dados localizados via Graph Search são tão privados quanto os seus amigos [e você mesmo] querem que eles sejam, acrescentou Hawthorn. Mesmo que os seus dados estejam bloqueados, check-ins e tags de imagens ou posts ainda oferecem mais conhecimento do que estava disponível anteriormente.

Quando comparado com dados de outros serviços sociais, como o LinkedIn, o atacante agora terá chances maiores quando visa uma pessoa ou organização.

"Antes da Graph Search, o invasor teria que cavar mais fundo e inferir muito sobre os interesses de um alvo, gostos e empregador. Com a ferramenta do Facebook é mais fácil de procurar e encontrar as respostas para essas perguntas - provenientes do próprio alvo", disse Hawthorn.

Fonte: Idgnow