Môžem si cez sociálne siete stiahnuť do zariadenia malvér? A aké iné nebezpečenstvá mi hrozia?

Sociálne siete ponúkajú zdroj informácií, zábavu či neobmedzený kontakt s naším okolím. Čím viac sociálne siete využívame, tým zjednodušujeme cestu zbehlým útočníkom, ktorí tieto platformy radi používajú na šírenia malvéru, krádež osobných údajov, financií či identity. S akými hrozbami sa na sociálnych sieťach môžete stretnúť a ako sa pred nimi chrániť? Vybrali sme zopár z nich.

Zneužitie osobných údajov či krádež identity

Sociálne siete narábajú s obrovským množstvom osobných informácií, ako napríklad meno, fyzický výzor a črty tváre, e-mail, dátum narodenia, rodinní príslušníci, koho na sieti sledujete či informácie o vašej aktuálnej polohe, kedy, kde a ako interagujete s platformou alebo históriu zariadení, cez ktoré sa prihlasujete. Všetky tieto informácie následne ukladajú a využívajú napríklad na lepšie zacielenie reklamy.

V posledných rokoch viacerí pokytovatelia týchto platforiem čelia pokutám a sporom týkajúcich sa ochrany súkromia a spôsobov narábania údajov, ktoré získavajú od svojich používateľov. To vyvoláva neutíchajúcu diskusiu o tom, ako sa s našimi údajmi v prostredí sociálnych sieti zaobchádza a ako ich chrániť. Nariadenia, akým je napríklad GDPR v EÚ, môžu dokážu pokryť len veľmi malú časť. Pravdou zostáva, že samotní používatelia nesú veľkú mieru zodpovednosti za ochranu svojich údajov, pretože mnohé z nich im poskytnú sami a dobrovoľne.

Odporúčaná téma: Škodlivý kód

Napriek tomu, že zvyšovanie ochrany osobných údajov v prostredí sociálnych sietí sa v posledných rokoch zlepšilo, mnohé spoločnosti naďalej zdieľajú údaje svojich používateľov aj s entitami tretích strán, ako sú externé reklamné siete či rôzni prevádzkovatelia a tvorcovia doplnkových aplikácií. Tie rovnako zhromažďujú osobné informácie o používateľoch, ktoré v prípade kybernetického útoku a slabého zabezpečenia môžu byť zneužité na nekalé účely. Preto hranice ochrany údajov prekračujú priestor konkrétnej sociálnej siete.

Ďalším rizikom je krádež identity či klonovanie profilov. Podvodníci odcudzia fotografie, mená a iné špecifické osobné informácie z legitímnych profilov na sociálnych sieťach, ktoré sú verejné. Tieto verejné informácie môžu potenciálne použiť na vykonávanie podvodov s falošnou totožnosťou, pričom na získanie týchto informácií využívajú techniky ako sociálne inžinierstvo.

Ako sa chrániť?

• Nezdieľajte príliš veľa osobných informácií, ktoré nie sú nevyhnutné na používanie sociálnej siete.
• Pred registráciou do sociálnej siete si prečítajte podmienky používania, ako s vašimi údajmi narába a ako ich uchováva.
• Ak používate rôzne doplnkové služby v rámci sociálnej siete, napríklad hry alebo zábavné aplikácie typu „Na akú celebritu sa podobám‟, dôsledne si prečítajte podmienky, za akých môžete aplikáciu použiť. Mnohé z nich požadujú informácie z vášho profilu, ktoré na spustenie samotnej aplikácie nie sú vôbec potrebné, ako je napríklad váš e-mail, prístup k nástenke či k vašim kontaktom. Následne môže aplikácia vo vašom mene pridávať na vašu nástenku príspevky či v prípade, ak sa dáta dostanú do rúk tretích strán, ktoré nie sú dostatočné zabezpečené, môžu vašu e-mailovú schránku zahltiť spamovými správami. Dodržujte jednoduché pravidlo, čím menej takýchto aplikácií budete používať, tým viac zvyšujete predpoklad, že sa informácie o vás nedostanú do rúk neoprávnených osôb.
• Nastavte si úroveň súkromia vášho profilu len pre vašich priateľov. No medzi priateľov si pridávajte len osoby, ktoré v reálnom živote poznáte. Ak máte pri niektorých profiloch pochybnosti, telefonicky alebo osobne si overte, či patrí daný profil osobe, s ktorou sa poznáte. Aj jej konto totiž mohlo byť naklonované alebo falošné.
• Zabezpečte vaše kontá dostatočné silnými heslami a dvojfaktorovým overením.
• Ak máte podozrenia, že bol váš účet na sociálnej sieti hacknutý, okamžite zmeňte heslo na zariadení, o ktorom ste si istí, že je zabezpečené. Istotu vám môže poskytnúť preskenovanie zariadenia vaším bezpečnostným riešením alebo pomocou ESET Online scanner, jednorazovou kontrolou, ktorá vyhľadá a odstráni malvér z vášho počítača. Zmeňte taktiež heslo, ktoré používate na prihlásenie do e-mailovej adresy, aby ste sa uistili, že prístup nie je možné získať ani prostredníctvom formulára na obnovenie hesla účtu sociálnych sietí.
• Ak máte podozrenia, že bol váš účet a jeho obsah zneužitý na klonovanie profilov, profil vyhľadajte a nahláste ho administrátorovi.

Škodlivý kód

Malvér môže infikovať vaše zariadenie po tom, ako kliknete na podozrivý odkaz v príspevku, niekto vám zašle škodlivú prílohu napríklad cez Messenger alebo si stiahnete falošnú aplikáciu sociálnej siete, ktorá sa tvári ako legitímna, no jej jedinou úlohou je šírenie malvéru alebo získanie vašich údajov.

Útočníci sa môžu k obeti dostať aj prostredníctvom obyčajných komentárov. Jednoducho sa pripletú do diskusie pod populárnym príspevkom, kde v určitom momente diskutuje niekoľko stoviek až tisíc používateľov. Do komentárov vložia odkaz s lákavou ponukou, no po kliknutí si stiahnete do zariadenia malvér.  

V poslednej dobe je rastúcou hrozbou rozposielanie malvéru prostredníctvom klonovania profilov. Pomocou tejto taktiky môžu útočníci vydávaním sa za „pravého‟ používateľa zneužiť nielen vaše dáta či neoprávnene získať od vás alebo vašich priateľov financie, ale aj ohroziť vaše zariadenia malvérom, ktorý vám zašlú do súkromnej správy. O tom, ako rozpoznať falošný profil, sa dočítate v tomto článku.

Ako sa chrániť?

• Používajte spoľahlivý a vždy aktuálny bezpečnostný softvér pre všetky zariadenia, ktoré používate, vrátane Android smartfónov.
• Uskutočňujte pravidelné aktualizácie operačného systému, čím znížite riziko výskytu zraniteľností, ktoré môžu útočníci využiť vo svoj prospech.
• Aplikácie sociálnych sietí sťahujte len z overených obchodov s aplikáciami a na zabezpečenej sieti.
• Zabezpečte vaše kontá dostatočne silnými heslami.
• Medzi priateľov na sociálnych sieťach si pridávajte len osoby, ktoré osobne poznáte.
• Vyhnite sa sledovaniu neoverených a podozrivých stránok na sociálnych sieťach.
• Buďte ostražití a v prípade akéhokoľvek podozrenia podvodu, osobu alebo stránku nahláste administrátorovi.
• V prípade straty financií sa spojte s políciou a taktiež vašou bankou.

Botnety

Slovo botnet sa skladá z dvoch výrazov: bot a net. Bot je skratka pre „robot‟ a net je skratka pre network „sieť‟. Botnety teda pomenúvajú skupiny systémov, ktoré sú vzájomne prepojené. Útočníci, ktorí vytvárajú malvér, nie sú v praxi schopní sa manuálne prihlásiť do každého infikovaného počítača. Namiesto toho na správu veľkého počtu infikovaných systémov používajú práve botnety, ktoré to robia automaticky.

Botnety nie sú zvyčajne vytvorené tak, aby ohrozovali iba jeden samostatný počítač, ale sú navrhnuté tak, aby infikovali milióny zariadení. Len čo je váš infikovaný počítač alebo iné zariadenie, pokojne aj router alebo smart televízor súčasťou botnetu, môže byť použitý na vykonávanie DDoS útokov (teda zahltenie napríklad webovej stránky príliš veľkým počtom požiadaviek, a preto skolabuje), ako aj na uskutočňovanie úloh cez internet bez toho, aby ste o tom vedeli (napr. odosielanie nevyžiadanej pošty, prípadne vírusov, ako aj krádež osobných a súkromných údajov, akými sú prihlasovacie údaje do služieb internetbankingu alebo čísla kreditných kariet). Konečným cieľom zločinca je často finančný zisk, šírenie škodlivého softvéru alebo narušenie fungovania konkrétnej služby.

Útočníci často rozmnožujú botnety prostredníctvom trójskeho koňa. Používatelia infikujú svoje zariadenia otvorením prílohy v e-maile, kliknutím na škodlivé odkazy v príspevkoch na sociálnych sieťach alebo nevedomým stiahnutím nebezpečného softvéru. Po infikovaní zariadenia majú botnety v podstate voľný prístup k osobným údajom či možnosti útočiť na iné zariadenia.

S rastúcou používateľskou základňou sociálnych sietí sa botnety a automatizácia šírenia škodlivého softvéru rozšírili aj do tohto prostredia. Zahŕňa napríklad útok s využitím hashtagu # na zacielenie na určitú organizáciu alebo skupinu používateľov. Prispôsobením hashtagov distribuujú roboti spam alebo škodlivé odkazy, ktoré sa následne objavujú v používateľských kruhoch typických pre daný hashtag, čím dosahujú efektívne cielenie útoku na konkrétnu skupinu.

Botnety sa využívajú aj na zvýšenie sledovateľov či reakcií na sociálnych sieťach – jednoducho nafúknu počet sledovateľov a lajkov, aby stránka alebo nejaký príspevok vyzerali populárnejšie.

Ako sa chrániť?

• Z technologického hľadiska existujú rôzne spôsoby boja proti botnetom, počnúc antimalvérovým riešením. Používajte preto spoľahlivý bezpečnostný softvér, ktorý zahŕňa ochranu pred botnetmi, blokovanie škodlivého softvéru a chráni bránu firewall.
• Zložitejšie botnety sa dokážu samy rozmnožovať, vyhľadávať a infikovať zariadenia automaticky. Tie počas svojej existencie neustále hľadajú zariadenia, ktoré trpia známymi zraniteľnosťami niach či zariadenia bez aktualizácií operačného systému alebo bezpečnostného softvéru. Preto uskutočňujte pravidelné aktualizácie operačného systému, ako aj všetkých aplikácií vo vašich smartfónoch, čím znižujete riziko výskytu zraniteľností, ktoré môžu útočníci využiť vo svoj prospech.
• Najúčinnejším prístupom k boju proti botnetom je vzdelávanie a zvyšovanie povedomia o tejto hrozbe. Ak je váš počítač napadnutý, môže byť použitý na poškodenie ostatných prostredníctvom rozposielania škodlivého kódu.

Clickjacking

Clickjacking je forma útoku, ktorá pomocou techník sociálneho inžinierstva podnecuje používateľov kliknúť na príspevky s odkazmi, ktoré smerujú na dramatické video, neuveriteľnú informáciu, výhry či šokujúce video. Po kliknití sú však používatelia presmerovaní na externú webovú stránku, na ktorej útočníci používajú niekoľko priehľadných vrstiev, v ktorých je umiestnený neviditeľný alebo maskovaný prvok. Ak si napríklad na takomto webe chcete prehrať video, po kliknutí na tlačidlo „play‟ si okrem spustenia prehrávania môžete automaticky stiahnuť do zariadenia malvér. 

Podobne útočníci manipulujú aj s tlačidlom Facebooku „Páči sa mi“, ktoré mnohé legitímne internetové stránky obsahujú, preto bežný používatel nepredpokladá, že za tým môže byť niečo škodlivé. No v prípade podvodných stránok útočníci opäť využijú priehľadnú vrstvu, v ktorej je maskovaný prvok na vykonanie úplne inej akcie, akú používateľ očakáva, napríklad sa odkaz z tejto stránky zaradí bez jeho vedomia do profilu na sociálnej sieti. Známa je aj forma tzv. cursorjacking, teda techniky úpravy používateľského rozhrania, ktorá zmení reálne umiestnenie kurzora. Používateľ si napríklad myslí, že kliká na odkaz v ľavej časti monitora, v skutočnosti však kliká na škodlivý odkaz inde. Clickjacking môže zneužívať rôzne typy odkazov, od obrázkových až po textové, pričom sa obsahovo útočníci často zameriavajú na známe celebrity, prírodné katastrofy či príbehy s emocionálnym podtónom.

Ako sa chrániť?

• Sledujte len známe a overené stránky.
• Ak natrafíte na príliš dobre znejúcu alebo šokujúcu správu, informáciu si radšej overte z legitímnych médií ako z lákavého odkazu na Facebooku.
• Tieto odkazy často vyzerajú vizuálne veľmi neprehľadne, majú mnoho zvláštnych formulácií alebo nezobrazujú predmet správy v celom rozsahu, ale len jeho časť, čím vás donútia kliknúť, aby ste videli viac. Ak natrafíte na podobný obsah, kliknutiu sa určite vyhnite.
• Neklikajte na odkazy a skrátené odkazy od ľudí, ktorých nepoznáte.
• Nesťahujte súbory, ktoré vám boli zaslané prostredníctvom sociálnych sietí a pochádzajú z neoverených zdrojov.
• Buďte ostražití, ak vám prišla neobvyklá správa od kamaráta s dobre znejúcou ponukou. Pravdepodobne sa stal obeťou a rozposiela správu so škodlivým odkazom.

Falošné súťaže

Súťaže na sociálnych sieťach sú medzi používateľmi veľmi populárne. No existujú prípady, keď za týmito súťažami boli skrytí podvodníci, ktorých cieľom nebolo potešiť používateľov výhrou, ale získať citlivé informácie.

Ako sa chrániť?

• Vyhýbajte sa súťažiam, ktoré pochádzajú z neoverených stránok na sociálnych sieťach.
• Každá súťaž musí mať svoje pravidlá a tie musia byť v každom súťažnom príspevku riadne zverejnené. V pravidlách musí byť jasne napísaný spôsob, akým budú vaše osobné údaje v prípade výhry použité a uchovávané. Rovnako musia obsahovať aj kontakt na usporiadateľa súťaže.
• Ak vyhráte, sú vo väčšine prípadov potrebné údaje, ako je meno, adresa a telefónne číslo, aby vám usporiadateľ súťaže vedel výhru zaslať. V žiadnom prípade nezdieľajte údaje, ktoré nie sú potrebné na to, aby vám niekto výhru poslal, ako prihlasovacie údaje, heslá, rodné číslo, číslo OP alebo prihlasovacie údaje do služieb internetbankingu alebo čísla kreditných kariet.
• Proaktívne nahlasujte podozrivé príspevky.
• Ak natrafíte na podvodníkov, nahláste ich danej sociálnej sieti a polícii.

Odporúčaná téma: Podvodné praktiky

Techniky sociálneho inžinierstva

Phishing a iné techniky sociálneho inžinierstva sú jedným z najbežnejších spôsobov, ako sa zločinci snažia získať prístup k citlivým informáciám. Tieto podvodné techniky na sociálnych sieťach pritom nie sú ničím odlišné v porovnaní s klasickými príkladmi podvodných správ, ktoré poznáme z e-mailovej komunikácie. Lákajú ľudí, aby prostredníctvom falošných správ a webov zdieľali citlivé údaje vrátane hesiel a podrobností o kreditnej karte.

Ako sa chrániť?

• Neklikajte na odkazy a skrátené odkazy od ľudí, ktorých nepoznáte, či na stránkach, ktoré sú podozrivé.
• Pri sledovaní stránky alebo súkromného účtu na sociálnej sieti si overte legitímnosť. Ako na to? Pokiaľ nie je profil alebo stránka označená modrým znakom s bielou fajkou (oficiálne označenie overených profilov a stránok poskytovateľom služieb), môžete tak urobiť prostredníctvom overenia informácií v profile, aktivitou samotného účtu či stránky alebo prepojením na daný profil cez oficiálne webové služby.
• Buďte opatrní pri odkazoch vložených do e-mailových správ, ktoré údajne pochádzajú od poskytovateľa sociálnej siete. Buďte obzvlášť opatrní, ak sa prekliknete na stránku, ktorá vyzerá ako daná sociálna sieť a vyžaduje prihlasovacie údaje. Môže ísť o falošnú webovú stránku, ktorej cieľom je len ukradnúť tieto údaje. Odporúčame, aby ste okamžite zavreli kartu prehľadávača a to bez kliknutia na akýkoľvek odkaz na stránke, aby ste predišli útokom s klikaním.
• Proaktívne nahlasujte podozrivé príspevky.

Všetky vyššie spomenuté hrozby nefungujú ako samostatné jednotky. V mnohých prípadoch sú vzájomne prepojené, čím útočníci zvyšujú šancu na úspech. Sociálne siete sú každodennou súčasťou našich životov, niekedy možno viac, ako by bolo potrebné. Preto buďte obozretní, správajte sa zodpovedne a používajte spoľahlivú ochranu v podobe bezpečnostného softvéru.

---

Zdroj: WeLiveSecurity, ESET online pomocník, https://www.eset.com/us/botnet/