Facebook kundsupport aktiverat kontohack

Facebooks kundsupportteam hjälper dig att bryta sig in i ditt konto.

Reddit-användare SquidWhale hävdar att någon kunde ändra e-postadressen, lösenordet och tvåfaktors autentiseringsinställningar för sitt Facebook-konto, helt enkelt genom att utmana honom i meddelanden till kundsupportteamet.

Meddelandena skickades inte ens från den e-postadress som användes för Facebook-kontot, och kundsupportrepresentanten accepterade felaktig identifiering efter att ha bett hackaren att bevisa att kontot verkligen hörde till dem.

Det var allt som krävdes för att hackaren skulle få tillgång till kontot. När det var klart ändrade han alla inloggningsuppgifter, raderade flera Facebook-sidor som ägde rum till kontoägarens verksamhet och skickade en tikbil till den rättmätiga ägarens förlovade.

Hela affären tog fyra timmar från början till slut. Det spelade ingen roll att hackaren inte hade kontoägarens e-postadress eller lösenord. Helvete, det spelade ingen roll om att kontoägaren hade aktiverat tvåfaktorsautentisering.

Allt som betydde var att Facebooks kundsupport var villigt att ändra dessa inställningar trots alla röda flaggor - maila från den felaktiga adressen, hävdar att man inte har en telefon, vilket ger fel ID - som dyker upp.

Allt detta tack vare en teknik som kallas socialteknik. Istället för att bryta kryptering, stjäl data eller på annat sätt använda teknisk trollkarl för att få tillgång till någons information, bygger socialteknik bara på att berätta en övertygande lögn.

Bara titta på den här videon från Fusion S "The Real Future", som visar en kvinna som får tillgång till redaktören Kevin Rooses telefonkonto med inget mer än ett YouTube-klipp av en gråtande bebis och några dramatiska skådespelare:

Facebook är inte det enda företaget som är sårbart för socialteknik. Tidigare i år anklagades Amazon för att ge ut en kunds personliga information till någon som utmärkte dem.

Mer sistnämnd har den civila rättighetsaktivisten DeRay McKessons Twitter-konto stulits via socialteknik. Hackaren ställde sig som McKesson i ett samtal till Verizon, ändrade SIM-kortet i samband med hans nummer och använde sedan den åtkomsten för att komma runt tvåfaktors autentisering på McKessons konto.

SquidWhale fick till sist tillgång till sina konton. McKessons Twitter-konto skickades tillbaka till honom. Men det förändrar inte det faktum att de förlorade tillgången till viktiga tjänster trots att de försökte försvara sig.

Det finns bara så mycket människor kan göra för att skydda sig online. Använd starka, unika lösenord. Använd inte något av dessa hemska lösenord. Ställ in tvåfaktors autentisering. Undvik osäkra anslutningar som gör det möjligt för någon att fånga in inloggningsuppgifterna medan de är i transit.

Denna affärsägare gjorde alla dessa saker. Men så länge som kundsupportteam kan ändra konton eller slå upp känslig information kommer det alltid att finnas en svag länk i det metaforiska staketet som omger personuppgifter.

Facebook har ännu inte svarat på intervjuförfrågningar om detta fall, men vi uppdaterar den här historien när den gör det.