תמיכת לקוחות פייסבוק מופעלת חשבון גרזן

צוות התמיכה בלקוחות של Facebook יעזור למישהו לפרוץ לחשבון שלך.

Reddit משתמש SquidWhale טוען כי מישהו היה מסוגל לשנות את כתובת הדוא"ל, הסיסמה, ואת שני גורמים אימות הגדרות של חשבון פייסבוק שלו פשוט על ידי התחזות לו הודעות לצוות תמיכת הלקוחות.

ההודעות לא נשלחו אפילו מהכתובת האימיילית המשמשת את חשבון הפייסבוק, ונציג תמיכת הלקוחות קיבל זיהוי פגום לאחר ששאל את ההאקר להוכיח שהחשבון באמת שייך להם.

זה כל מה שנדרש עבור האקר כדי לקבל גישה לחשבון. ברגע שזה נעשה הוא שינה את כל פרטי הכניסה, מחק כמה דפי פייסבוק המוקדשים לעסק של בעל החשבון, ושלח תמונה זין לארוסה של הבעלים החוקיים.

הפרשה כולה נמשכה ארבע שעות מתחילתה ועד סופה. זה לא משנה כי האקר לא היה בעל כתובת הדוא"ל של הבעלים או את הסיסמה. לעזאזל, זה אפילו לא היה משנה כי בעל החשבון הפך אימות שני גורמים.

כל מה שחשוב היה העובדה שתמיכת הלקוחות של פייסבוק היתה מוכנה לשנות את ההגדרות האלה למרות כל הדגלים האדומים - שליחת דואר אלקטרוני מהכתובת הלא נכונה, בטענה שאין לה טלפון, המספק את המזהה הלא נכון - שצץ.

כל זה בזכות טכניקה המכונה הנדסה חברתית. במקום לשבור הצפנה, לגנוב נתונים, או באמצעות אשף טכני אחר כדי לקבל גישה למידע של מישהו, ההנדסה החברתית פשוט מסתמך על שקר משכנע.

צפה בסרטון הזה מ- היתוך "העתיד האמיתי", המתאר אישה שמקבלת גישה לחשבון הטלפון של קווין רוזה בטלפון, עם קליפ יואטובה של תינוק בוכה וכמה משחקים דרמטיים:

פייסבוק אינה החברה היחידה הפגיעה בהנדסה חברתית. מוקדם יותר השנה, אמזון הואשם במתן מידע אישי של הלקוח למי היה מתחזה להם.

לאחרונה, פעיל זכויות האזרח של DeRay McKesson של טוויטר חשבון נגנב באמצעות הנדסה חברתית. ההאקר הציב את מק'קסון בקריאה לוורייזון, שינה את כרטיס ה- SIM שהיה קשור למספר שלו, ולאחר מכן השתמש בגישה זו כדי לעקוף את האימות של שני גורמים על החשבון של מק'קסון.

בסופו של דבר קיבל סקווידוויל גישה לחשבונותיו. חשבון הטוויטר של מק'קסון הוחזר לו. אבל זה לא משנה את העובדה שהם איבדו את הגישה לשירותים חשובים למרות שהם ניסו להגן על עצמם.

יש רק כל כך הרבה אנשים יכולים לעשות כדי להגן על עצמם באינטרנט. השתמש בסיסמאות חזקות וייחודיות. אל תשתמש באחת מאותן סיסמאות איומות. הגדר אימות של שני גורמים. הימנע מקשרים לא מאובטח שיכולים לאפשר למישהו ליירט פרטי התחברות בזמן שהם נמצאים במעבר.

בעל העסק הזה עשה את כל הדברים האלה. עם זאת, כל עוד צוותי התמיכה בלקוחות יכולים לשנות חשבונות או לחפש מידע רגיש, תמיד יהיה חוליה חלשה בגדר המטפורית המקיפה נתונים אישיים.

פייסבוק עדיין לא הגיב לראיין בקשות על המקרה הזה, אבל אנחנו נעדכן את הסיפור הזה כאשר זה קורה.