De faux comptes Facebook spamment vos amis et leur réclament de l’argent

J’avais déjà posté ici une alerte aux piratages de comptes Facebook en décembre 2012, voici une nouvelle histoire.

Tout a commencé à Baltimore, dans le Maryland, cet automne, lorsque le producteur exécutif de la chaîne de télévision sportive WBAL a reçu une demande d’ami via Facebook.

Cette demande semblait provenir de quelqu’un que Chris Dachille connaissait. Aussi, au lieu de se renseigner sur l’identité réelle de l’expéditeur, Chris Dachille a tout simplement accepté la demande.

Puis, ni une, ni deux, le nouvel ami de Chris récupérait des images et des informations personnelles le concernant, à partir de son profil, et les utilisaient pour créer un faux profil au nom de Chris Dachille.

Ce faux compte créé et la liste d’amis de Chris Dachille en mains, le pirate a ensuite envoyé des demandes à l’ensemble des amis de Chris. La majorité d’entre eux a accepté.

Comme le précise Sean Gallagher de Ars Technica, l’attaque s’est répandue comme une traînée de poudre parmi les collègues de la rédaction de Chris Dachille et ce, via des répliques de leurs propres comptes Facebook qui envoyaient des liens malveillants s’appuyant également sur leur soi-disant identité pour réclamer de l’argent.

Ce n’est qu’après avoir reçu des avertissements par dizaines de la part de ses amis que Chris a compris ce qui était en train de se passer.

Dans un entretien à WBAL, Chris Dachille explique :

[icon color=”#00589a” size=”25px” name=”moon-quotes-left”] L’idée que quelqu’un ait pu se faire passer pour moi et demander de l’argent à mes amis était très « dérangeante ».

La première chose à laquelle j’ai pensé a été : « ont-ils mes coordonnées bancaires ? Des informations personnelles me concernant, mon numéro d’imposition ou quelque chose dans le genre ? »

Le fait qu’un inconnu ait accès à votre profil Facebook n’est peut-être pas aussi catastrophique que de lui communiquer directement votre numéro de sécurité sociale mais cela lui donne la possibilité de se faire passer pour quelqu’un d’autre pour mieux lancer des opérations de phishing.

En se faisant passer pour des amis ou des collègues, les pirates peuvent envoyer des liens malveillants à l’ensemble de nos contacts, comme ça a été le cas pour WBAL. Ces liens risquent de rediriger vers des malwares qui infecteront alors les ordinateurs des victimes, avec tous les outils nuisibles que nous connaissons, dont des keyloggers.

En d’autres termes, que des inconnus aient accès à notre compte Facebook ne signifie pas forcément qu’ils mettront la main sur nos données bancaires. Cependant, cela leur permet de s’en rapprocher très sérieusement : ils disposent désormais d’informations utiles pour lancer des opérations de phishing.

Les professionnels des medias ont cliqué sur le bouton Facebook « signaler un abus », mais apparemment, la société a mis des semaines à revenir vers eux et à supprimer les fausses répliques de comptes.

Il a même fallu impliquer le secrétaire de la Justice du Maryland, que la chaîne de télévision a fini par contacter.

Comme le fait remarquer Sean Gallagher, à la décharge de Facebook, il est très difficile pour eux de faire la différence entre un vrai profil et un faux.

Beaucoup d’utilisateurs ont le même nom et donc des noms d’utilisateurs similaires. Quant au niveau de détails des informations sur ces faux comptes, il est tel qu’on peut aisément croire que le compte est légitime. L’une des journalistes m’a même expliqué qu’une réplique de son compte affichait une date de naissance proche de la sienne. Elle n’avait même pas donné cette information dans son profil original.

L’ensemble des victimes de la rédaction faisaient usage de leur compte Facebook pour des motifs personnels et professionnels, explique Sean Gallagher. Les pirates ne se sont pas contentés de récupérer des photos des utilisateurs, ils ont également utilisé des adresses emails ressemblantes et se sont parfois même servi de données personnelles recueillies en demandant en ami des contacts de leur victime.

Puis, ils ont demandé en amis tous les amis de la victime et ainsi de suite… Ensuite, ils ont spammé le fil d’information de ces personnes via le compte faux compte Facebook répliqué.

Que peut faire un individu lambda pour prouver son identité sur ou au sein des réseaux sociaux ? Sean Gallagher fait remarquer que Facebook propose un service de vérification d’identité pour les pages dédiées aux entreprises ou aux personnages publics afin de faire la différence entre la personne physique et son activité professionnelle.

De son côté Twitter propose un macaron bleu portant la mention « verified », ce qui permet d’attester de l’authenticité d’un compte. Cependant, ce service n’est pas ouvert à tous. Il sert en majorité à certains utilisateurs triés sur le volet comme des célébrités, des musiciens ou même certaines marques.

Lorsque vous recevez une demande d’ami, les systèmes de Facebook vérifient, entre autres choses, que le destinataire n’a pas déjà un ami du même nom,

Lorsque vous signalez à Facebook que des imposteurs détournent le flux intégré de messages du réseau social, les équipes les passent un à un en revue et réagissent en fonction, à savoir : elles ajoutent des points de contrôle (demander davantage d’informations avant autorisation) ou elles suppriment des profils, si nécessaire.

Sean Gallagher dit ne pas avoir eu le temps d’accéder au contenu frauduleux pour voir s’il redirigeait vers des malware. C’est plutôt bon signe. Cela signifie que Facebook sait détruire les contenus malveillants rapidement, lorsque c’est nécessaire.

Ceci n’est cependant pas une consolation pour WBAL que cette attaque a affecté pendant des semaines, avant que les profils répliqués ne soient supprimés. Mais comme nous l’avons déjà dit, la vérification est difficile.

Pour Seean Gallagher, le meilleur moyen de se prémunir contre ce genre de problème est de demander personnellement aux personnes cherchant à se connecter à vous si ce sont bien elles, ou de répondre que oui, c’est bel et bien vous.

Mais comment prouver que c’est bien vous alors ? Faut-il communiquer des données personnelles vous concernant ? Ceci semble aller à l’encontre du procédé.

Et si vous vous mettez à enquêter sur une demande d’ami, comment être certain que la personne qui vous répond ne soit pas un pirate qui vous communique des informations dérobées on ne sait où ?

N’hésitez pas à nous faire part de vos suggestions dans la partie « commentaires » de cet article.

En attendant, Facebook m’a répondu être au courant de ces signalements et la société a développé plusieurs méthodes de détection et de blocage de ces malversations.

Facebook invite les utilisateurs à

• Prendre des informations détaillées sur toute demande d’ami
• Se méfier des emails louches contenant des fautes d’orthographe, de frappe, un mélange de police ou des accents étrangement placés et,
• De signaler tous les messages suspects cherchant à recueillir des informations en cliquant sur les liens prévus à cet effet et répartis sur le site

Vous trouverez plus d’informations sur phishing via le centre d’aide de Facebook

Si vous souhaitez être au courant des dernières actualités concernant les arnaques Facebook et en savoir plus sur la sécurité plus généralement, abonnez-vous à la newsletter.

Adaptation du billet original de Lisa Vaas : Cloned Facebook accounts hit up friends with spam and money requests.

Partagez Attention aux faux comptes Facebook : http://wp.me/p2YJS1-Za