Sociala sajter guldgruva för bedragare

Nyligen samlades säkerhetsfolk på konferensen ShmooCon 2009 i Washington. I år var sociala nättjänster i fokus. De har blivit vardag för miljoner människor och många är inloggade flera gånger om dagen. Även från sina jobbdatorer.

Platser där många människor samlas lockar också kriminella och bedragare. Nätet är inget undantag. Knepen bedragarna använder för att lura aningslösa användare blir allt mer försåtliga.

Amerikanska nättidningen CIO var på plats och bevakade konferensen. De blev chockade av vad de fick se och höra.

Under ett av föredragen lotsade experterna Nathan Hamiel och Shawn Moyer deltagarna genom en serie attacker på sociala sajter. Allt de gjorde var att utnyttja just de funktioner som gör dessa sajter så populära.

“För bedragare är det ett drömscenario för tillämpning av social engineering och hacking”, förklarade Shawn Moyer. “Problemet är att ovana användare har fått för mycket kreativ kraft i händerna”, menade Nathan Hamiel.

Det finns en rad enkla knep för att kapa ett konto till någon av de större sociala sajterna. De kapade kontona blir plattformar för systematiska attacker mot inringade användare.

Här är några av knepen som blev omtalade på konferensen:

• Skapa ett konto på LinkedIn under falskt namn, föreställande någon känd och ansedd person. Försök sedan bli vän med så många andra som möjligt. Under konferensen lade Nathan Hamiel och Shawn Moyer upp en profil för en känd amerikansk säkerhetsexpert (med dennes tillåtelse) och fick på ett dygn över 50 kontakter – däribland flertalet CSO:er och företagsledare. Sedan kan du räkna ut vilka dörrar det kan öppna.

• “Jag är i London och har blivit rånad. Snälla skicka tusen spänn så att jag kan ta mig hem.” Vad gör du om du får detta meddelande från en kompis på Facebook? Genom att tyst bevaka Facebook-konton över tid kan bedragare referera till förhållanden som bara din rätte kompis kan känna till. Knepet har figurerat ett tag och många har tydligen gått på det.

• Bedragarnas senaste lycka är Twitter. “Har du sett att du är med på den här videon!!! Kolla in den här länken!”. Va? Är jag med på en video? Länken går till en phishingsajt som ser exakt ut som min inloggningssida – och jag loggar in. Hoppsan, där blev jag av med inloggningsuppgifterna. Knepet är gammalt, men fungerar igen i nya sammanhang.

• Genom att samla information från en eller flera sociala sajter kan bedragare gå vidare med så kallad social engineering gentemot företag och myndigheter. Detta är på väg att bli ett jätteproblem.

• Nathan Hamiel och Shawn Moyer visade också ett exempel på en sajt som ackumulerar gamla direktmeddelanden i Twitter. Genom att tålmodigt nagelfara innehållet upptäcktes allt från telefonnummer och e-postadresser till allehanda känslig privat information.