Fonte: Meta
L’annuncio shock arriva direttamente da Facebook sul blog di Meta: quasi 50mila utenti sono stati spiati da società di sorveglianza. Negli ultimi giorni diversi account hanno ricevuto un avviso dal social in cui si chiedeva di attivare l’autenticazione a due fattori (se ancora non attiva) e confermare i propri dati per poter sbloccare l’account. Apposto da Facebook stesso, il blocco serviva a proteggere gli utenti presi di mira negli ultimi mesi.
La surveillance-for-hire (sorveglianza a noleggio) è un vero e proprio settore commerciale composto da società che offrono servizi e software per spiare utenti e account. Una sorta di investigatori privati che non si fanno scrupoli su chi sta richiedendo il servizio: le aziende, infatti, collaborano sia coi governi, sia con gruppi indipendenti e privati. Le società non si preoccupano di ledere i diritti delle persone colpite: il loro unico scopo è offrire un servizio, indipendentemente dallo scopo.
Questo tipo di sorveglianza, come si legge dal post sul blog di Meta, si articola in tre fasi: riconoscimento, coinvolgimento e sfruttamento. Una vera e propria catena di attacco, spesso portata avanti da società diverse: alcune si occupano solo di una di queste tre fasi, specializzandovisi.
Durante la fase di riconoscimento i “mercenari” profilano la persona raccogliendo tutte le informazioni che possono su di essa, spesso in maniera automatizzata. Social network, blog, articoli, ma anche piattaforme come Wikipedia sono il target dei software per raccogliere i dati dell’utente. Utilizzando account falsi, le società si occupano di ottenere tutte le informazioni possibili sulla vittima, a partire dai “mi piace”, partecipazioni agli eventi, amici e gruppi di cui fanno parte.
La seconda fase, il coinvolgimento, mira a stabilire una connessione con l’utente o con le persone a lui vicine, in modo da conquistarne la fiducia e avvicinarlo. Lo scopo è quello di preparare il terreno per la fase di sfruttamento: costruendo un “legame” con la vittima sarà poi più semplice inviargli mail o messaggi con link o file da scaricare contenenti un payload maligno. La fase di coinvolgimento utilizza le tecniche di social engineering per portare l’utente a fare un passo falso e fornire informazioni preziose o scaricare malware.
La fase di sfruttamento dipende fortemente dal successo della precedente. Se l’attaccante riesce a far scaricare all’utente un file compromesso o a estorcergli delle credenziali è in grado di stabilire una connessione digitale con la vittima, compromettendone definitivamente la sicurezza. Una volta ottenuto il controllo di uno o più device o account dell’utente, gli attaccanti possono venire a conoscenza di e manipolare ogni aspetto della vita della vittima.
Vip, giornalisti, politici, attivisti ma anche persone “comuni”: le vittime di spionaggio sono state tante e varie. Facebook-Meta ha spiegato di aver “sorvegliato la sorveglianza” per diversi mesi, individuando sette società in tutto il mondo che offrivano questi servizi attivamente. Questi provider di servizi sono provenienti per lo più da Cina, Israele, India e Nord della Macedonia.
Facebook ha avvertito gli utenti di questa violazione della privacy, informandoli di essere stati potenzialmente sorvegliati dagli attaccanti. Le società, raccogliendo dati su determinati account, si stavano preparando a sferrare attacchi di ingegneria sociale nei confronti di migliaia di vittime; secondo Facebook alcuni potrebbero essere stati già messi in pratica nell’ultimo periodo.
L’azienda di Zuckerberg ha già provveduto a bannare dai suoi social gli account degli attaccanti; nel frattempo ha chiesto agli utenti nel mirino di attivare l’autenticazione a due fattori. Anche chi l’aveva già attivata ha ricevuto l’avviso di sicurezza, volto a verificare che l’account fosse effettivamente protetto.
Facebook, in ogni caso, raccomanda di fare attenzione alle richieste di amicizia e ai messaggi, e di accettare solo chi siamo sicuri di conoscere. Oltre a questo, vale sempre la regola di non cliccare su link sospetti o scaricare file di cui non conosciamo la provenienza. In aggiunta, è sempre bene limitare le informazioni pubbliche dei propri profili social, nascondendo, ove possibile, la lista di amici, le proprie attività e i dati personali.