Attenzione agli attacchi ai profili Facebook, il Self-XSS
Parliamo di una nuova tipologia di attacco che sta prendendo di mira i profili degli iscritti al social network, il cosiddetto Self-XSS. E’ Facebook stesso (vedere questa pagina) che cerca di spiegare come il Self-XSS sia un’aggressione mirata, nello specifico, a sottrarre le altrui credenziali d’accesso.
Un XSS o una truffa Cross Site Scripting (attacco tramite script da altri siti) sono progettati per indurti a fornire l’accesso al tuo account Facebook. Se un truffatore ottiene l’accesso al tuo account, può pubblicare contenuti e commentare a tuo nome.
I truffatori che utilizzano XSS solitamente ti ingannano promettendoti di aiutarti a compromettere l’account di un’altra persona. L’obiettivo del truffatore è fare in modo che tu esegua il suo codice dannoso nel tuo computer. Eseguendo il codice, concedi al truffatore l’accesso al tuo account per effettuare frodi, spam e soprattutto per indurre più persone a eseguire la truffa.
I truffatori solitamente prendono di mira i tuoi amici scrivendo sul tuo diario. Per evitare attacchi XSS, non copiare e incollare mai link sospetti.
L’attacco ha inizio con l’arrivo di un’e-mail o di un messaggio, tramite Facebook, che presenta una metodologia facile per impossessarsi delle credenziali d’accesso utilizzate da altri iscritti al social network. Il testo del messaggio (vedere l’immagine a lato), per adesso in inglese, è già abbastanza diffuso e potrebbe ben presto essere tradotto in altre lingue (italiano compreso).
Ovviamente si tratta di un messaggio truffaldino: le istruzioni riportate non consentono assolutamente di mettere le mani sugli username e password altrui ma, invece, si concretizzano in una serie di pericolosi passaggi che portano invece a trasferire agli aggressori i propri dati di accesso. Da qui l’appellativo “Self-XSS“.
I truffatori, infatti, suggeriscono che per impossessarsi delle credenziali d’accesso di un altro utente sarebbe sufficiente cliccare con il tasto destro sulla pagina Facebook di qualsiasi persona quindi scegliere Ispeziona elemento od Esamina elemento dal menù contestuale ed incollare il codice riportato.
Tale codice, in realtà, non fa nulla di quanto promesso: esso invece provoca l’inserimento di istruzioni JavaScript dannose all’interno della pagina Facebook alterandone il comportamento (ecco perché si parla di aggressione cross-site scripting o XSS) e provocando l’invio di informazioni personali e dati sensibili a terzi.
Come suggerisce anche Facebook nella sua pagina di supporto, quindi, per difendersi gli utenti debbono semplicemente astenersi dall’incollare qualunque genere di codice all’interno del browser. Allo stesso tempo, viene caldamente consigliato di informare Facebook su qualunque campagna spam o, peggio, su qualsiasi tentativo di truffa (vedere queste indicazioni). (fonte)
Valuteremo insieme se necessitate di un semplice consiglio, magari tramite le oltre 1.200 note già pubblicate, o se per risolvere preferite essere seguiti passo passo tramite un servizio professionale di teleassistenza (ai nostri fan, ma solo a loro, costa pochi euro). Siamo in grado di risolvere la quasi totalità dei problemi in teleassistenza, senza che voi o il vostro computer lasci la vostra abitazione, controllando insieme a noi cosa viene fatto sul vostro sistema. Altre informazioniL’articolo Attenzione agli attacchi ai profili Facebook, il Self-XSS sembra essere il primo su CheckBlackList.
