Spis treści
Media społecznościowe stały się miejscami, gdzie spontanicznie dzielimy się fragmentami swojego życia osobistego, zawodowego lub społecznego. Zdjęcia, komentarze, reakcje, anegdoty… każdy szczegół opublikowany może wydawać się nieistotny, gdy jest rozpatrywany osobno. Jednakże, zebrane razem, niektóre informacje publiczne wystarczają, aby znacznie ułatwić włamanie do konta. Zjawisko to nie opiera się wyłącznie na lukach w oprogramowaniu, ale przede wszystkim na wykorzystywaniu widocznych, dostępnych danych, często dobrowolnie dostarczanych przez samych użytkowników.
Na większości platform społecznościowych duża część profilu jest widoczna domyślnie. Imię, zdjęcie, miasto, zainteresowania, relacje, a czasem nawet adres e-mail lub częściowo ukryty numer telefonu. Te dane stanowią idealną bazę do odtworzenia dokładnego profilu użytkownika.
Konto, które wyświetla swoje dokładne imię, szkołę, obecne stanowisko i lokalizację, już dostarcza kilka możliwych odpowiedzi na pytania bezpieczeństwa lub scenariusze odzyskiwania konta. Im bardziej precyzyjne są te informacje, tym łatwiejsza jest praca atakującego.
Urodziny, święta, śluby czy ważne daty są często udostępniane w mediach społecznościowych. Jednakże, te elementy są często używane jako odniesienia w hasłach lub pytaniach odzyskiwania.
Zgodnie z badaniem przeprowadzonym przez Google i Harris Poll, prawie 20% użytkowników używa znaczącej daty osobistej w swoich hasłach. Kiedy haker zna Twoją datę urodzenia, datę bliskiej osoby lub ważne wydarzenie z Twojego życia, ma już zestaw wiarygodnych hipotez do przetestowania.
Publikacje typu „wszystkiego najlepszego”, nawet wysyłane przez znajomych, jeszcze bardziej wzmacniają tę ekspozycję.
Media społecznościowe podkreślają relacje: rodzina, bliscy przyjaciele, koledzy. Jednak wiele metod odzyskiwania konta nadal opiera się na pytaniach, takich jak imię rodzica, dziecka czy zwierzęcia.
Kiedy te informacje pojawiają się publicznie w komentarzach, oznaczonych zdjęciach lub publikacjach, bariera bezpieczeństwa staje się w dużej mierze teoretyczna. Haker nie musi zgadywać, on obserwuje.
Analizy pokazują, że ponad 30% kont skompromitowanych za pomocą inżynierii społecznej wykorzystywało widoczne informacje z profilu ofiary.
Godziny połączeń, regularnie odwiedzane miejsca, typy polubionych lub komentowanych treści tworzą cyfrową rutynę. Ta rutyna pozwala przewidzieć:
Te elementy ułatwiają spersonalizowane próby phishingu. Wiadomość wysłana w odpowiednim momencie, z przyjaznym tonem i wiarygodnym kontekstem, ma znacznie większe szanse na sukces niż ogólny atak.
Zdjęcia udostępniane w mediach społecznościowych nie pokazują tylko twarzy. Mogą ujawniać:
Nawet gdy geolokalizacja jest wyłączona, zawartość wizualna czasami wystarcza do zidentyfikowania adresu lub często odwiedzanego środowiska. Badacze z zakresu cyberbezpieczeństwa szacują, że ponad 60% opublikowanych obrazów zawiera wykorzystywalne wskazówki, nawet nieumyślnie.
Wyświetlanie swojego adresu e-mail, nawet częściowo, ułatwia pracę atakującego. Adres powiązany z imieniem, nazwiskiem i siecią społecznościową pozwala na uruchomienie:
Zgodnie z Verizon, 81% naruszeń kont wiąże się z ponownym użyciem haseł. Publiczny adres e-mail staje się więc punktem dostępu do wielu usług.
Nawet stare publikacje, czasami zapomniane, mogą być wykorzystywane. Stary status wspominający o przeprowadzce, uczęszczanej szkole lub poprzednim zatrudnieniu pozostaje widoczny i może być zestawiony z nowszymi informacjami.
Hakerzy nie koncentrują się wyłącznie na najnowszych treściach. Analizują pełną historię, aby odtworzyć spójną i wiarygodną chronologię, przydatną do oszukiwania zautomatyzowanych systemów lub wsparcia klienta.