Phishing přes sociální sítě

O co se jedná?

Jsou to například Facebook, Instagram, LinkedIn, Messenger, WhatsApp nebo seznamovací aplikace, a snaží se ji přimět k:

• poskytnutí přihlašovacích údajů,

• sdělení autorizačního kódu z SMS,

• zadání údajů o platební kartě,

• převodu finančních prostředků,

• stažení škodlivé aplikace,

• zapojení do podvodného investičního projektu,

• převzetí účtu a jeho dalšímu zneužití.

Často jde o kombinaci útoku s cílem finančního zisku a útoku s cílem infiltrovat další účty za účelem šíření podvodného schématu.

V čem spočívá nebezpečnost

Na rozdíl od e-mailového phishingu je tento typ útoku více personalizovaný a využívá prostředí, ve kterém uživatelé komunikují méně formálně a s vyšší mírou důvěry.

• Zneužití osobních vazeb – útok často přichází z účtu známé osoby.

• Rychlost šíření – kompromitovaný účet rozesílá podvodné zprávy dalším kontaktům, přičemž na zprávy na sociálních sítích reagujeme zpravidla rychleji.

• Snadná manipulace přes soukromé zprávy – komunikace probíhá v reálném čase.

• Obtížnější rozpoznání – zprávy často nepůsobí jako „oficiální podvod“.

• Sekundární útoky – po převzetí účtu může dojít k vydírání či dalším podvodům.

Z jakých účtů mohou pachatelé útočit

• Zcela náhodný účet – je dobré si uvědomit, že útočník si na sociální síti může založit účet dle libosti. Může si zvolit vzhled, pohlaví, věk, národnost apod. Navíc může být identita dnes plně vytvořena pomocí umělé inteligence. Platí, že na sociálních sítích si prakticky nikdy nemůžete být jisti, s kým si právě píšete nebo kdo vaši konverzaci v budoucnu uvidí.

• Účet, který se tváří jako účet vašeho přítele ze seznamu přátel – je to jednoduché. Útočník si z vašeho veřejného seznamu přátel vybere jeden kontakt a zduplikuje ho. To znamená, že využije jeho profilovou fotografii a jméno a bude spoléhat na vaši nižší ostražitost, že si ho přidáte do přátel. Navíc vás může kontaktovat i mimo tento seznam.

• Kompromitovaný zavedený účet – jedná se o nejnebezpečnější variantu. Komunikujete totiž s reálným účtem, takže nemusíte podvod ihned odhalit. Útočník si navíc může nastudovat vaši předchozí komunikaci a plynule na ni navázat, což je velmi nebezpečné.