L’FBI avverte gli utenti dei social media contro i criminali che irrompono negli account personali alla ricerca di foto e video intimi, che in seguito possono essere distribuiti online o messi in vendita. Gli attacchi si basano su diversi metodi, tra cui messaggi di phishing, false interazioni di assistenza clienti e tentativi di prendere il controllo degli account usando password precedentemente esposte.
Secondo a public service announcement il Internet Crime Complaint Center (IC3) dell’FBI, gli aggressori possono prendere di mira individui specifici o allargare la ricerca di account contenenti materiale privato. Dopo aver ottenuto contenuti intimi, sono stati osservati criminali che li condividevano tramite comunità online o tentavano di venderli su mercati illeciti.
Le conseguenze possono andare oltre il furto iniziale. L’FBI afferma che le immagini rubate potrebbero essere pubblicate insieme a informazioni identificative sulla persona coinvolta, inclusi nomi, date di nascita, indirizzi email, numeri di telefono e nomi utente dei social media. Combinare materiale intimo con queste informazioni può esporre le vittime a ulteriori molestie e a ripetuti attacchi di mira.
Un metodo descritto dall’FBI inizia con criminali che fingono di rappresentare il team di supporto di una società di social media. Gli aggressori possono creare indirizzi email o siti web convincenti e contattare gli utenti con un avvertimento inventato che qualcuno ha tentato di accedere al loro account.
Il messaggio indirizza quindi il destinatario verso un link malevolo. Una vittima che segue le istruzioni può inconsapevolmente fornire informazioni che permettono all’aggressore di accedere al vero account social media.
Un’altra variante si concentra sui codici di verifica degli account. I criminali che si spacciano per l’assistenza clienti possono dire agli utenti che il loro account sta per essere sospeso o cancellato e affermare che è necessario un codice di verifica per impedirlo. Dietro le quinte, l’attaccante avvia un autentico reset della password, facendo sì che la piattaforma invii un codice di autenticazione al proprietario dell’account.
Se quel codice viene consegnato, il criminale può usarlo per completare il reset e prendere il controllo dell’account. Il legittimo proprietario potrebbe quindi scoprire che la password è stata cambiata e l’accesso è stato perso.
Non ogni compromissione di account richiede un’interazione diretta con la vittima. L’FBI avverte anche sugli attacchi con password in cui i criminali provano combinazioni di nomi utente e password finché non trovano credenziali efficaci. Le informazioni di accesso esposte da precedenti violazioni di dati o ottenute da mercati criminali possono essere utilizzate per questi tentativi.
L’FBI raccomanda di evitare di archiviare foto e video a scopo sessuale su account social o altri servizi accessibili a internet quando possibile. Si consiglia inoltre agli utenti di proteggere gli account con passphrase forti e uniche e di abilitare l’autenticazione multifattore dove disponibile.
Le password e i PIN non dovrebbero basarsi su dati personali facilmente reperibili come compleanni o nomi di parenti. Anche il riutilizzo delle password è rischioso perché le credenziali esposte da una violazione che coinvolge un servizio possono potenzialmente essere testate contro account altrove.
Notifiche di reset di password, avvisi di account e messaggi contenenti link di accesso devono essere trattati con cautela. Invece di seguire un link fornito via email o messaggio di testo, gli utenti possono aprire l’applicazione ufficiale della piattaforma o visitare manualmente il sito web per controllare il proprio account.
L’FBI sottolinea inoltre che codici di autenticazione e credenziali di accesso non dovrebbero essere forniti a chi afferma di lavorare per una società di social media. Una richiesta di queste informazioni può essere di per sé un segnale che qualcuno sta cercando di prendere il controllo dell’account.