Wdrożenie nowego protokołu Hypertext Transfer Protocol na Facebooku Bezpieczne szyfrowanie jest już kompletne. (Elinor Mills opisała tę funkcję w poście na swoim blogu InSecurity Complex w zeszłym tygodniu.) Szyfrowanie jest dodatkowym dodatkiem do sieci społecznościowej, ale daleko mu do panaceum na Facebooku.

Aby włączyć szyfrowanie na Facebooku, kliknij Konto w prawym górnym rogu i wybierz Ustawienia konta. Wybierz Zmień obok opcji Zabezpieczenia konta, aby wyświetlić bieżące ustawienia. Zaznacz opcję w obszarze Przeglądanie zabezpieczeń (https). Możesz również sprawdzić "Wyślij mi wiadomość e-mail" w sekcji "Gdy nowy komputer lub urządzenie mobilne loguje się na to konto", aby otrzymywać powiadomienia o możliwym nieautoryzowanym dostępie do Twojego konta.

To wspaniałe, że Facebook podejmuje działania mające na celu ochronę swoich klientów przed oszustami i złodziejami tożsamości, ale jest tylko tyle, że firma lub jakakolwiek usługa internetowa może zrobić, aby powstrzymać szpiegujących i złośliwych dostawców. W przypadku Facebooka słabym ogniwem mogą być gry i inne aplikacje, które pozostają niezaszyfrowane.

Wcześniej w tym tygodniu analityk bezpieczeństwa Sophos Graham Cluley napisał na swoim blogu Naked Security o skazach na Facebooku odkrytych przez dwóch studentów. Według Cluley, złośliwe oprogramowanie może naśladować aplikację, która uzyskała pozwolenie na dostęp do twoich danych i opublikować ją na ścianie, aby uruchomić ataki phishingowe i propagować wirusy i trojany.

Badacz początkowo nie był w stanie zduplikować metody ataku, ponieważ jego ustawienia bezpieczeństwa na Facebooku były "dość sztywne", ale obniżenie ustawień pozwoliło mu uzyskać dostęp do jego konta za pośrednictwem aplikacji oszustwa.

W sierpniu 2009 opisałem, jak zmienić domyślne ustawienia zabezpieczeń Facebooka, aby usługa była bezpieczniejsza. Opcje prywatności zmieniły się nieco od tego czasu, ale kroki mające na celu wzmocnienie bezpieczeństwa Facebooka są prawie takie same. Strona kontrolująca How How Share na Facebooku pozwala bardziej szczegółowo zapoznać się z opcjami bezpieczeństwa usługi.

Cluley donosi, że uczniowie powiadomili funkcjonariuszy bezpieczeństwa Facebooka o wadzie i został załatany. Ale jak zauważa badacz Sophos, skomplikowany system, taki jak Facebook, z pewnością zawiera inne wady, z których niektóre mogą być wykorzystywane przez złych ludzi.

Użytkownicy Facebooka atakowani przez phisherów

Jak można się było spodziewać, sukces Facebooka sprawił, że stał się ulubionym celem oszustów internetowych. Dostawca zabezpieczeń Panda Security poinformowała niedawno o dwóch nowych atakach na złośliwe oprogramowanie, które próbują nakłonić użytkowników Facebooka do otwarcia fałszywego załącznika do wiadomości e-mail i kliknięcia łącza odpowiednio w wiadomości błyskawicznej.

E-mail ostrzega użytkowników, że ich konto na Facebooku jest używane do wysyłania spamu, a jego hasło zostało zmienione. Zostały poinstruowane, aby otworzyć załącznik wiadomości, który zawiera ikonę Microsoft Word, aby znaleźć nowe hasło, a następnie zalogować się i zmienić hasło. Załącznik otwiera program Word, aby użytkownicy uznali, że jest to uzasadnione, ale otwiera też wszystkie porty systemu i łączy się z usługami pocztowymi, próbując wysyłać spam - wynika z badań przeprowadzonych przez PandaLabs.

Link do fałszywego IM powoduje pobranie robaka, który przejmuje jego konto Facebooka i blokuje je, wyświetlając komunikat przy próbie zalogowania się z informacją, że konto zostało zawieszone. Aby ponownie aktywować konto, komunikat nakazuje im wypełnienie kwestionariusza, a nawet obiecuje nagrody za to.

Kwestionariusz prosi nawet, aby numer telefonu komórkowego osoby otrzymał "punkty pobierania danych" i nowe hasło, które zostanie użyte do reaktywacji konta. To łamie kilka podstawowych zasad bezpiecznego przetwarzania:

• Nie klikaj odsyłaczy w wiadomościach e-mail lub wiadomościach błyskawicznych, nawet jeśli uważasz, że ufasz nadawcy. Phisherzy mogli narazić konto danej osoby na używanie ich niegodziwych schematów.

• Nie otwieraj załączników e-mail, których nie oczekujesz, bez wcześniejszej weryfikacji ich przez nadawcę.

• Nie zgłaszaj danych osobowych na żadną witrynę, której nie ufasz i która nie używa szyfrowania. Poszukaj adresu "https:" na początku adresu URL i ikony kłódki w pobliżu adresu u góry ekranu lub na pasku stanu u dołu ekranu, w zależności od przeglądarki.

Z pewnością pojawią się nowe, bardziej zawiłe próby oszukania użytkowników Facebooka w zakresie udzielania złodziejom dostępu do ich kont. Ochrona przed nimi jest obowiązkiem każdego użytkownika Facebooka. Zaczyna się od tego, że wiedzą, że źli ludzie czekają na nas, żebyśmy się wycofali.