Mi hanno (quasi) hackerato il profilo Instagram
Proprio ieri pomeriggio hanno provato a rubare il mio account instagram. E’ un attacco “hacker” (lo metto tra virgolette e poi vi spiegherò il perchè, continuate a leggere l’articolo) abbastanza in voga ultimamente. Scordatevi tutti i film con i super-mega-iper-hacker che digitano compulsivamente sulla tastiera. E scordatevi pure tutte e 5 le stagioni di Mr. Robot. Qui l’attacco è molto meno sofisticato. Quindi proprio perchè un attacco facile da riconoscere vediamo come proteggere il vostro account instagram dagli hacker.
Pertanto è anche semplice difendersi, esattamente come ho fatto io ieri. Vediamo come si sviluppa l’attacco e come riconoscerlo.
"Figurati se rubano il mio account Instagram"
Sì, lo so, state pensando “ma io ho 3 follower in croce, non sono un influencer a chi vuoi che interessi il mio profilo Instagram?“.
Ho una brutta notizia per voi: tutti gli account veri hanno un valore anche solo in termini di credibilità (anche questa cosa ve la spiego tra poco). Non serve avere milioni di follower per avere un account a rischio di attacco. Anche i profili comuni (e mezzi abbandonati come il mio) possono essere di interesse per gli attaccanti e quindi no, non siete al sicuro solo perchè avete pochi follower e non siete una star. Pertanto, se ci siete affezionati, dovreste proteggere il vostro account instagram dagli hacker.
Quindi bisogna difendersi, stare sempre attenti e soprattutto non cliccare compulsivamente.
Come attaccano il vostro account Instagram
Ve lo dicevo all’inizio di questo articolo: dimenticatevi gli hacker dei film. Niente cappucci neri e scantinati bui, qui l’attacco è più banale e si basa sulla vostra buona fede.
In pratica funziona così: un account instagram “credibile” vi inizia a seguire e voi, magari vedendo che è un account che sembra di una persona vera (quindi ci sono post, commenti e tutto quello che serve per darvi la sensazione di potervi fidare), magari lo seguite.
Dopo un po’ questo account vi scrive con una scusa qualsiasi e vi dice qualcosa del tipo:
“Riceverai un messaggio di testo per <motivo a caso> mandami lo screenshot del messaggio che ricevi “
In pratica vi sta chiedendo di mandargli il codice di autenticazione che ricevete da Instagram quando qualcuno prova a fare un accesso “sospetto”. Ovvero state autorizzando gli attaccanti ad accedere al vostro profilo Instagram.
Una considerazione aggiuntiva: gli hacker avevano già la vostra password (cambi la password regolarmente? Qui trovi qualche consiglio su come farlo in modo efficace) ma sapendo che instagram chiede un’autenticazione al proprietario sperano di farsela dare direttamente da voi.
L'account Instagram è credibile
All’inizio vi dicevo che anche un account con pochi follower ma ben mantenuto ha un valore. Questo attacco funziona perchè vi attaccano non da un account anonimo o riconoscibile a prima occhiata come falso. L’account è credibile e quindi è più facile per esempio dare confidenza o magari in buona fede seguire delle istruzioni ricevute da questo profilo Instagram.
La falla di sicurezza siete voi
Ehhhhh già se cercate un colpevole dovete guardare allo specchio. E’ difficile accedere ad un account Instagram pur avendo username e password proprio perché La piattaforma Meta quando rileva un accesso sospetto (se voi siete in Italia come mai sbuca questo login dal Bangladesh?) chiede al proprietario di confermare l’accesso tramite il famoso codice di autenticazione. Se voi lo fornite a qualcuno lo state autorizzando ad entrare.
Insomma se date le chiavi di casa ai ladri e loro entrano, cambiano la serratura e si appropriano di casa vostra chiudendovi fuori potete giusto fare mea culpa. Ed ecco perchè ho messo hacker tra virgolette: non è un vero attacco informatico perchè di fatto siete voi a dare l’accesso al malintenzionato.
Ma perché rubano questi profili Instagram?
Che valore ha il mio profilo Instagram? Insomma guardate qui, non sono certo un influencer! Io vedo due valori diversi:
- E’ un account credibile e quindi verrebbe comodo per usarlo come account attaccante. Chiunque guardi il mio profilo capisce che è di una persona che (a fasi alterne) lo usa con regolarità. E quindi se il mio account chiedesse amicizia a qualcuno non suonerebbe sospetto.
- Per quanto piccolo il mio account ha un proprio network (circa 500 persone) che mi segue, mi conosce e in buona sostanza si fida di me. Ovvero è un ottimo modo per veicolare truffe a mio nome. Truffe che potenzialmente potrebbero andare a buon fine proprio perchè “lo dice lui che seguo e mi fido).
Vediamo l'attacco al mio profilo Instagram
Vi presento Costanza, o meglio il suo account Instagram, adesso probabilmente in mano a qualche “hacker”.
Mi ha chiesto amicizia un paio di giorni fa, ho dato una sbirciata veloce al profilo e vedendolo credibile ho ricambiato il follow. C’è un centinaio di post, qualche foto delle vacanze, tanti paesaggi.
Anche la bio del profilo non desta sospetti, c’è il suo lavoro, dove vive, cosa fa. Si vede che è un account vero. Ho pensato che vedendo i post relativi agli articoli del blog fosse interessata a questo piccolo spazio web e volesse restare aggiornata.
Forse, l’unica cosa sospetta, è il rapporto account seguiti / follower: ma un rapporto 1:3 è tutto sommato ragionevole.
L'attacco vero e proprio
Ieri pomeriggio arriva l’attacco hacker vero e proprio. L’account mi contatta tramite messaggio privato chiedendomi di aiutarlo in una specie di contest per diventari ambasciatori di “non ho ben capito cosa”: per aiutare questo account devo solo mandare indietro lo screen del messaggio che riceverò. Ecco come è andata la conversazione.
Qualche considerazione aggiuntiva
Ci stavo quasi per cascare
E’ abbastanza normale chiedere like, follow e supporti vari anche ad utenti a caso. Vedendo l’account credibile ci stavo quasi per cascare.
In effetti quando mi ha chiesto di votare ho cercato nella chat il link da cliccare pensando che lo avesse mandato via messaggio privato. Quando poi ha specificato che dovevo ricevere un messaggio di testo (da notare mi ha mandato anche lo screen dell’app che dovevo controllare) allora è stato chiaro. Quindi se qualcuno vi chiede di mandare screenshot è altamente probabile che sia un attacco. Ocio!
Per inciso non ho ricevuto nessun sms, probabilmente l’hacker doveva ancora tentare la login.
Interessa solo lo screenshot
La storia del concorso per diventare ambasciatori è palesemente una scusa. In questo momento l’hacker vuole solo il codice di autenticazione per entrare e se avete guardato gli screen me lo chiede esplicitamente.
Passa dal chiedermi di votare (senza dirmi come) al “non devi fare nulla non cliccare sul link, mandami solo lo screenshot”.
Tre domande:
- Ma se non faccio nulla come posso votare per te?
- In ogni caso perchè ti serve lo screen? Ammesso che il concorso esista tu come partecipante dovresti avere accesso alla classifica quindi la conferma che io abbia votato non ti serve…..ma in effetti me lo dice pure, vuole solo lo screenshot.
- Solo a me in certi momenti sembra che l’italiano vada a farsi un giro per boschi? Quel “Controlla il tuo messaggio di testo” suona davvero fatto con Google Translate….un po’ strano per una madrelingua italiana non trovate?
Altra chicca, aveva già gli screen con le istruzioni pronte per aiutarmi a fornire quello che serve in maniere più tempestiva. Sono proprio efficienti questi hacker.
Avrei potuto trollare di più
La tentazione è stata quella di fingere di stare al gioco e far perdere all’hacker un mezzo pomeriggio volendolo aiutare ma non riuscendo ad easudire la richiesta (per la serie “hey scusa scrinsciot che?”).
Poi ho pensato che in quel momento ero sotto attacco e quindi serviva chiudere la faccenda in maniera sbrigativa aumentando ulteriormente la sicurezza dell’account. Quindi ho chiuso la conversazione, segnalato e bloccato l’account e provveduto ad aggiungere qualche livello in più di sicurezza.
Cosa ho fatto per proteggere il mio account instagram
Partiamo dal principio che se non invio il codice di autenticazione a 2 fattori sono al sicuro da qualsiasi attacco hacker. Ma la password del mio account era potenzialmente compromessa quindi ho agito come segue.
- Ho cambiato due volte di fila la password del mio account. L’ho fatto due volte perchè in moti sistemi l’ultima password usata (quindi quella conosciuta dall’hacker) resta valida ancora per 15 minuti. Quindi anche se cambiate la password del vostro profilo instagram potenzialmente l’attaccante ha ancora 15 minuti per provare a sottrarvelo. Cambiandola 2 volte siete sicuri che la password compromessa diventi inusabile.
- La password ovviamente è una stringa casuale lunghissima (di solito tra i 64 e i 128 caratteri) piena di simboli, numeri, lettere maiuscole e minuscole. Per decifrarla ci voglio davvero tanti anni e se volete fare qualche prova leggete questo articolo.
- Ho aggiunto l’autenticazione a due fattori basata su Google Authenticator. in questo modo solo chi è fisicamente in possesso del mio cellulare può accedere all’account.
Cara Costanza mi dispiace tanto
Ho rintracciato Costanza su Facebook sperando che anche quell’account non fosse compromesso. Le ho scritto spiegandole cosa fosse successo. Magari nemmeno si è accorta di aver perso l’accesso al proprio account. Cara Costanza spero davvero che tu possa recuperare la tua pagina e farti beffe di questo attacco hacker.
E voi vi sentite al sicuro?
Su da bravi non mi rispondete di sì, che la prudenza non è mai troppa. Fate un check alla sicurezza dei vostri account e provate a vedere se potete potenziarla ancora un po’ che non si sa mai. Non si è mai troppo sicuri.
Vi ha contattato qualche account sospetto chiedendovi screenshot per diventare la raginetta della sagra del raviolo di un comune sperduto? Siete già stati vittime di un attacco hacker simile? Raccontatemelo nei commenti! Oppure unitevi al canale telegram attraverso il quale potete entrare nel gruppo di discussione e dirmelo direttamente! In alternativa potete sempre iscrivervi alla newsletter. Qui trovate tutti i contatti utili per restare sempre aggiornati!
Pingback: WhatsApp: come difendersi dai tentativi di furto - Alessandro Balboni
Pingback: Google Authenticator: proteggi i tuoi account - Alessandro Balboni
Pingback: Virustotal.com: come scoprire virus e malware - Alessandro Balboni