Gli attacchi informatici si moltiplicano, e con essi rileviamo un importante aumento nei tentativi di truffe e inganni digitali. L'utente non solo deve essere consapevole di queste manovre: deve anche imparare a riconoscere le vulnerabilità più comuni. Una domanda troppo frequente (forse con qualche intenzione maliziosa) è come vengono hackerati gli account Facebook. Il nostro obiettivo oggi non è spiegare questo, ma come difendersi da un ipotetico attacco e mantenere protetto il proprio profilo.
Password deboli
Sembra incredibile doverlo spiegare, ma se un utente finisce con il suo account Facebook hackerato, molto probabilmente ha utilizzato una password troppo debole, o peggio, ripetuto la stessa password su diversi servizi. Se uno di questi subisce un attacco e le credenziali vengono filtrate sul Web, tutta la sua vita digitale potrebbe essere esposta.
La prima linea di difesa è cambiare la password con una molto più robusta e usare un gestore di password allo stesso tempo. In precedenza abbiamo condiviso una lista con i migliori del mercato, ma personalmente credo che KeePass si mantenga un paio di gradini sopra gli altri, grazie al suo profilo gratuito, open source e offline.
Un'altra risorsa fondamentale è il sito Have I Been Pwned, che ci aiuta a verificare se i nostri indirizzi email si trovano in database filtrati. Se non puoi sostituire le tue email, come minimo devi assicurarti che ogni servizio che le usa come login sia protetto con password forti.
Phishing (email, pagine, chiamate, ecc.)
Un'email che dice di essere del "dipartimento di sicurezza di Facebook", un'"emergenza" nel tuo conto bancario, un profilo sui social che ti annuncia vincitore di un sorteggio, un avviso su possibili foto filtrate, avvisi sulla chiusura di un account… lo abbiamo letto e sentito tutto. Benvenuto nel mondo del phishing, uno dei metodi più efficaci di ingegneria sociale.
L'idea è semplice: rubarti qualcosa. Credenziali, numeri, codici, account, qualsiasi cosa. Alcuni attaccanti usano email, pagine e profili falsi. Altri puntano sul vishing, voice phishing o voice solicitation, con interazioni più dirette come chiamate o messaggi vocali.
La cosa più importante da capire su phishing e vishing è che si tratta di sicurezza umana. La vulnerabilità sei tu, e con questo in mente, ci sono alcuni punti che non devi mai perdere di vista:
- Nessuno ti chiamerà o contatterà senza previo consenso esplicito. Né Facebook, né Netflix, né Spotify, né Starbucks, né la banca, né il tuo provider Internet, né il Fondo Monetario (mi è successo), né principi nigeriani, né Bill Gates, né Elon Musk. Nessuno. Devi assumere che tutti questi tentativi di comunicazione sono maliziosi e cercano di rubarti qualcosa.
- Non aprire alcuna email sospetta, non fare clic su alcun link strano e non scaricare un allegato se non puoi verificarne la provenienza.
- Non inserire o condividere mai informazioni personali, soprattutto in finestre pop-up. Nessuna azienda reale ti chiederà dati in questo modo.
- Cerca errori di ortografia o problemi di traduzione. Una caratteristica del phishing è che molti attacchi sono di bassa qualità e ignorano dettagli di base come l'ortografia.
Man in the Middle (MITM)
Amiamo il WiFi pubblico e gratuito, perché negarlo? Ci tiene connessi, aiuta a risparmiare dati sui nostri pacchetti e ci ha tirato fuori da un impaccio in diverse occasioni, però... non è necessariamente sicuro. Il concetto di Man in the Middle si applica a molti casi, ma qui dobbiamo immaginare una rete WiFi falsa o compromessa da un elemento malizioso che si spaccia per una rete WiFi pubblica. Non importa esattamente come: se l'attaccante sa cosa fa, può ascoltare/registrare tutto ciò che passa attraverso la sua rete, incluse credenziali di Facebook e altri social.
L'ideale sarebbe evitare completamente le reti WiFi pubbliche, ma dobbiamo essere realistici: come minimo, assicurati che la rete disponibile sia di fiducia (chiedere il nome della rete in un esercizio non fa mai male) e cerca di usare una VPN per le connessioni più delicate. Ecco quattro opzioni gratuite se non sai da dove iniziare.
Keylogging
Di gran lunga, il caso peggiore. La presenza di un keylogger equivale a un dispositivo compromesso, e lo stesso vale per tutti i servizi a cui hai avuto accesso. Come suggerisce il nome, il keylogger registra tutto ciò che passa dalla tastiera, dai nomi utente e password ai numeri di carta e PIN di sicurezza. Se qualcuno ha installato un keylogger sul tuo computer, cerca molto più che hackerare il tuo account Facebook.
Tecnicamente è possibile riprendersi da un attacco del genere ("Nuke and pave", cambio di tutte le password su tutti i servizi, e massima vigilanza per rilevare movimenti strani nell'home banking e altri profili), ma la migliore difesa è impedire che il keylogger venga installato in primo luogo.
- Ancora una volta, diffida di qualsiasi link di download o allegato strano che potresti ricevere. Cerca di verificarne l'origine. Chiedi.
- Sui dispositivi mobili, evita le tastiere alternative sviluppate da aziende senza reputazione. Il Play Store è in una battaglia costante contro le app dannose che cercano di rubare informazioni, e non manca mai la tastiera con regali in background…
- La sicurezza dei sistemi operativi attuali è migliorata molto, ma non è mai una cattiva idea aggiungere uno strumento di protezione aggiuntivo. Malwarebytes rimane una delle più consigliate e ha un articolo completo dedicato ai keylogger.
- Computer condiviso? Controlla le porte USB e altri dettagli. Abbiamo già sentito storie su hardware misterioso in passato...
In sintesi
Alcuni attaccanti si concentrano su una di queste strategie. Altri applicano una combinazione di tutte, ma per ottenere accesso a un account Facebook, molto probabilmente provano password deboli e puntano al phishing. Naturalmente, questo non si limita a Facebook. Devi pensare anche a Twitter, TikTok, Instagram, Discord, Twitch e tutto ciò che è di tuo interesse online. Buona fortuna!
