«Κοινωνικά ρομπότ» σε μαζική υποκλοπή δεδομένων από το Facebook

Κακόβουλα προγράμματα που δημιούργησαν προφίλ στο Facebook υποδυόμενα τους ανθρώπους κατάφεραν να υποκλέψουν πολύτιμα προσωπικά δεδομένα από χιλιάδες «φίλους» τους, προειδοποιούν οι Καναδοί ερευνητές που σχεδίασαν το πείραμα.

Η ερευνητική ομάδα στο Πανεπιστήμιο της Βρετανικής Κολούμπια δημιούργησε «κοινωνικά ρομπότ», ή socialbot, όμοια με αυτά που χρησιμοποιούνται ήδη από κυβερνοεγκληματίες για τη συλλογή προσωπικών δεδομένων, με στόχο την απάτη ή την πώλησή τους στη μαύρη αγορά.

Οι υπεύθυνοι του Facebook εκφράζουν επιφυλάξεις για τη μεθοδολογία της έρευνας, δηλώνουν όμως ότι θα λάβουν τα συμπεράσματά της υπόψη για την αναβάθμιση των συστημάτων ασφάλειας.

Ψεύτικα προφίλ

Σε δημοσίευση που έχει γίνει δεκτή για παρουσίαση σε συνέδριο για την ασφάλεια των υπολογιστών, οι ερευνητές εξηγούν πώς απελευθέρωσαν 102 κοινωνικά ρομπότ σε διάστημα οκτώ εβδομάδων. Υπακούοντας τις εντολές ενός κεντρικού λογισμικού ελέγχου, τα bot δημιουργούσαν τα δικά τους προφίλ στο Facebook στα οποία εμφανίζονταν ψεύτικα ονόματα και φωτογραφίες.

Σε πρώτη φάση, τα ρομπότ αυτά έστειλαν αιτήματα «φιλίας» σε 5.053 χρήστες του Facebook που είχαν επιλεγεί τυχαία, από τους οποίους οι 976 (ποσοστό 20%) έκαναν το λάθος και τα αποδέχτηκαν. Προκειμένου να αποφύγουν την ενεργοποίηση των μέτρων ασφάλειας του Facebook, τα ρομπότ δεν έστελναν περισσότερα από 25 αιτήματα την ημέρα.

Σε δεύτερη φάση, τα bot έστειλαν νέα αιτήματα σε 3.157 φίλους φίλων, δηλαδή σε φίλους χρηστών που είχαν αποδεχτεί τα αιτήματα στην πρώτη φάση. Δεδομένου ότι ο μέσος χρήστης του Facebook είναι τρεις φορές πιθανότερο να αποδεχτούν ένα αίτημα αν προέρχεται από φίλους φίλων, το ποσοστό επιτυχίας εκτινάχθηκε στο 59%, ή 2.079 θύματα.

Χτενίζοντας τα προφίλ των «φίλων» τους, τα κακόβουλα προγράμματα συνέλεξαν 14.500 διευθύνσεις σπιτιών και 46.500 διευθύνσεις email, αναφέρει το BBC. Σύμφωνα με το CNet, ο όγκος των κλεμμένων προσωπικών δεδομένων έφτασε τα 250 Gigabyte.

«Καθώς τα socialbot παρεισφρέουν σε ένα στοχευμένο OSN [Online Social Network], μπορούν να συλλέγουν δεδομένα των χρηστών όπως διευθύνσεις email, τηλεφωνικούς αριθμούς και άλλα προσωπικά δεδομένα με οικονομική αξία» γράφουν οι τέσσερις Καναδοί ερευνητές.

Επισημαίνουν ακόμα ότι μόνο το 20% των κοινωνικών ρομπότ έγιναν αντιληπτά και μπλοκαρίστηκαν από το σύστημα ασφάλειας Facebook Immune System.

Από την πλευρά τους, οι υπεύθυνοι του Facebook επισήμαναν ότι η επίθεση εξαπολύθηκε από τις έμπιστες διευθύνσεις IP ενός πανεπιστημίου, ενώ σε πραγματικές συνθήκες τα ύποπτα IP θα είχαν μπλοκαριστεί νωρίτερα.

«Διατηρούμε σοβαρές επιφυλάξεις για τη μεθοδολογία της έρευνας από το Πανεπιστήμιο της Βρετανικής Κολούμπια, τις οποίες σκοπεύουμε να τους παρουσιάσουμε» δήλωσε εκπρόσωπος της εταιρείας.

Οι ερευνητές, όμως, υπολογίζουν ότι σε πραγματικές συνθήκες το ποσοστό επιτυχία των bot θα ανερχόταν στο 80%.

Γεγονός είναι ότι οι όροι χρήσης του Facebook απαιτούν από τους χρήστες να χρησιμοποιούν τα πραγματικά τους ονόματα και δεν τους επιτρέπουν να συλλέγουν δεδομένα τρίτων χωρίς τη συγκατάθεση τους.

Αυτό, βέβαια, είναι απίθανο να αποτρέψει την υποκλοπή από κυβερνοεγκληματίες.

Πιο ουσιαστική είναι όμως η σύσταση που επανέλαβε ο εκπρόσωπος της υπηρεσίας: «Ενθαρρύνουμε τους χρήστες να συνδέονται μόνο με ανθρώπους που ξέρουν στην πραγματικότητα και να αναφέρουν κάθε ύποπτη συμπεριφορά».

Η έρευνα έχει γίνει δεκτή για παρουσίαση τον επόμενο μήνα στο Annual Computer Security Applications που θα πραγματοποιηθεί στο Ορλάντο της Φλόριντα.