4 метода получения чужих паролей в Facebook

Автор: Nelson Aguilar

Несмотря на то, что в течение многих лет неоднократно возникали инциденты, связанные с безопасностью в Facebook, многие продолжают пользоваться этой социальной сетью. Более того, количество новых пользователей постоянно растет, что позволяет Facebook ставить новые рекорды. По состоянию на 31 декабря 2017 года ежемесячная аудитория в Facebook составляла 2,13 миллиарда пользователей, усредненная ежедневная – около 1,4 миллиарда.

Часть нашей жизни проходит в Facebook. Мы делимся своими датами рождения и годовщинами, рассказываем о своих планах на каникулы и сообщаем текущее местонахождение. Делимся датами дней рождения наших детей и датами смерти родителей. Рассказываем о наиболее приятных событиях и тяжелых мыслях. В общем, разглашаем многие аспекты нашей жизни. Существуют даже целые книги, написанные клиническими психологами, где детально рассказывается, насколько сильное влияние оказывает Facebook на наши эмоции и взаимоотношения.

Однако мы часто забываем, что находимся под наблюдением.

Мы используем Facebook в качестве средства общения с друзьями, но существуют люди, которые пользуются этой социальной сетью в злонамеренных целях. Мы раскрываем информацию, которой другие могут воспользоваться против нас. Злоумышленники знают, когда нас нет дома, и сколько продлится наше отсутствие. Знают ответы на секретные вопросы и, по сути, могут украсть наши персональные данные, используя ту информацию, которую мы по собственному желанию указываем в публичном профиле.

 
Рисунок 1: Страница авторизации в Facebook (источник: Digital Trends)

Самое неприятное заключается в том, что, чем более технологичной становится наша жизнь, тем более уязвимыми мы становимся для злоумышленников. Даже если мы выкладываем в общий доступ неполные сведения, в случае острой необходимости знающие люди могут получить доступ к нашей электронной почте и учетной записи в Facebook с целью восполнения информационных пустот, касающихся наших персональных данных.   
На самом деле, вам даже не нужно быть профессиональным хакером, чтобы получить доступ чужой учетной записи в Facebook.

Процесс получения доступа к аккаунту может оказаться не сложнее, чем установка расширения Firesheep. Боле того, в Facebook можно получить доступ к чужой учетной записи даже без знания пароля. Вам лишь нужно выбрать трех друзей для отсылки кода. Далее вы вводите три полученных кода и получаете доступ к аккаунту. Проще не бывает.

В этой статье я покажу несколько способов, как хакеры и обычные люди, могут получить доступ к учетной записи в Facebook. После описания каждого способа будет приведен метод защиты вашего аккаунта от конкретного метода.

Метод 1: Обнуление пароля

Самый простой способ получения доступа к чужой учетной записи в Facebook связан с обнулением пароля. Реализовать этот метод проще тем людям, которые находятся в списке друзей той персоны, чей аккаунт планируется взломать.

• Первый шаг – раздобыть электронную почту, используемую во время авторизации (например, в разделе с контактами в профиле). Хакеры используют утилиты наподобие TheHarvester. Более подробную информацию относительно данной темы можно подчерпнуть в этом руководстве.
• Кликните на ссылку Forgotten account? и введите электронную почту жертвы. После появления аккаунта кликните на This is my account.
• Появится вопрос о том, хотите ли восстановить пароль через электронную почту. Поскольку мы будем получать доступ другими методами, нажмите на No longer have access to these?
• Появится вопрос How can we reach you? Введите адрес электронной почты, к которой у вас есть доступ. Этот адрес не должен быть привязан ни к одной учетной записи в Facebook.
• Вас попросят ответить на вопрос. Если вы хорошо знаете жертву, то, вероятно, сможете ответить на этот вопрос. В противном случае можно попробовать подобрать ответ. Если правильный ответ найден, вы сможете поменять пароль. Далее нужно подождать 24 часа, чтобы залогиниться в аккаунт жертвы.
• Если вы не смогли подобрать ответ на вопрос, кликните на Recover your account with help from friends (восстановление доступа через друзей). Далее нужно будет выбрать от 3 до 5 друзей, которым будет выслан код, чтобы вы смогли восстановить доступ к аккаунту.

Рисунок 2: Перечень друзей, через которых можно восстановить доступ к учетной записи

• Выбранным друзьям будут отосланы пароли, которые нужно ввести на следующей странице. Вы можете либо создать от 3 до 5 поддельных аккаунтов и добавиться в друзья к жертве, либо выбрать тех друзей, которые согласятся поделиться с вами присланным паролем.

Рисунок 3: Страница для ввода паролей, присланных выбранным друзьям
Как защититься

• При регистрации в Facebook используйте отдельный и незасвеченный адрес электронной почты.
• Секретный вопрос должен быть таким, чтобы ответ нельзя было подобрать на базе информации из публичного профиля. Никаких имен животных и годовщин. Не следует использоваться в качестве даже имена учителей из начальной школы, поскольку эту информацию можно найти в альбоме выпускников.
• Выберите трех надежных друзей, которым будет высылаться пароль. Таким образом, вы сможете защитить себя от высылки пароля случайным знакомым, которые вознамерились получить доступ к вашей учетной записи.

Метод 2: Использование клавиатурного шпиона

Программный клавиатурный шпион

Программный клавиатурный шпион представляет собой приложение, которое считывает все нажатия на клавиатуре без ведома пользователя. Вначале это приложение нужно загрузить вручную на компьютер жертвы. Затем клавиатурный шпион начинает работать в фоновом режиме и перехватывает все нажатия клавиш. Можно настроить так, чтобы вся собранная информация отсылалась на электронную почту.

Для начала можете ознакомиться с руководством по установке клавиатурного шпиона на целевой компьютер. Если этот метод вам не подходит, можно поискать бесплатные клавиатурные шпионы или попытаться написать свой собственный на C++.

Рисунок 4: Параметры одного из клавиатурных шпионов

Аппаратный клавиатурный шпион

Аппаратные клавиатурные шпионы работают в точности так же как и программные за тем исключением, что вам нужно подключить к компьютеру жертвы USB-флешку с программной начинкой, где и будут сохраняться все перехваченные нажатия клавиш. Впоследствии вам потребуется лишь вставить флешку в свой компьютер и извлечь собранную информацию.

Существует несколько разновидностей аппаратных клавиатурных шпионов. Модели наподобие Keyllama должны быть подключены к компьютеру жертвы и могут работать в любой операционной системе. Чтобы получить собранную информацию, у вас должен быть физический доступ к устройству. Альтернативный вариант: клавиатурный шпион с поддержкой Wi-Fi. Собранная информация может отсылаться на электронную почту или скачиваться через Wi-Fi.

Рисунок 5: Аппаратные клавиатурные шпионы

Как защититься

Используйте фаервол, который будет мониторить сетевую активность и сможет отследить подозрительные операции, поскольку клавиатурные шпионы обычно отсылают собранную информацию через интернет.

• Установите менеджер паролей. Менеджеры паролей будут автоматически заполнять все важные формы без задействования клавиатуры, а клавиатурные шпионы могут перехватывать только нажатые клавиши.
• Своевременно устанавливайте обновления. Как только компания-разработчик узнает, что в приложении появились уязвимости, начинается работа над созданием заплаток. Старые версии программного обеспечения могут стать причиной дополнительных дыр в вашей системе.
• Меняйте пароли. Если все еще не ощущаете себя защищенными, то можете менять пароли раз в две недели. На первый взгляд этот подход кажется слишком радикальным, но с другой стороны пароли, украденные злоумышленниками, будут терять актуальность слишком быстро.

Метод 3: Фишинг

Хотя реализовать этот сценарий намного сложнее, чем два предыдущих, фишинг остается одним из наиболее популярных способов получения доступа к чужому аккаунту. Самый популярный тип фишинга связан с созданием поддельной страницы авторизации. Ссылка на эту страницу обычно отсылается на почту жертве и ничем не отличается от настоящей формы авторизации.  Одна из сложностей заключается в том, что нужно создать аккаунт на веб-хостинге и, собственно, саму поддельную страницу.

Рисунок 6: Поддельная страница авторизации

Самый простой путь создания подобной страницы – ознакомиться с руководством по клонированию веб-сайтов. Затем нужно будет доработать форму так, чтобы информация, вводимая жертвой, где-то сохранялась. Реализация этого метода осложняется тем, что с одной стороны пользователи стали очень осторожны, с другой – фишинговые фильтры в почтовых сервисах постоянно улучшаются. Однако нет ничего невозможного, особенно если вы клонируете Facebook полностью.

Как защититься

• Не следует кликать на подозрительные ссылки в электронных письмах. Если в письме предлагается пройти авторизацию по ссылке, будьте осторожны. Вначале проверьте URL. Если сомнения все еще остались, авторизируйтесь напрямую на веб-сайте Facebook.
• Фишинг не в обязательно осуществляется через электронную почту. Ссылки могут распространяться через веб-сайты, чаты, текстовые сообщения и так далее. Даже всплывающие рекламные окна могут оказаться вредоносными. Никогда не кликайте ссылки, выглядящие подозрительно, и особенно те, где вас просят ввести какую-либо конфиденциальную информацию.
• Используйте антивирусы и приложения, защищающие от веб-угроз (Norton, McAfee и т. д.).

Метод 4: Атака «человек посередине»

Если вы находитесь рядом с целью, то можете спровоцировать жертву на подключение к поддельной Wi-Fi сети для кражи учетных записей. Утилиты наподобие Wi-Fi Pumpkin позволяют создавать поддельные Wi-Fi сети на базе беспроводного сетевого адаптера и Raspberry Pi. После того как вы с настроенным оборудованием подобрались близко к цели, и жертва подключилась к поддельной сети, вы можете проанализировать трафик или сделать перенаправление на поддельную страницу авторизации. Вы даже можете заменить отдельные страницы, а остальное не трогать.

Рисунок 7: Небольшой компьютер, на базе которого создан клон беспроводной сети для перехвата трафика (автор фотографии SADMIN/Null Byte)

Как защититься

Никогда не подключайтесь к открытым (и незашифрованным) Wi-Fi сетям.

• Особенно будьте осторожны с сетями, находящимися вне публичных заведений. Например, сеть с именем «Google Starbucks» должна вызывать подозрения, если в радиусе нескольких миль нет ни одного заведения Starbucks. Поскольку хакеры уже собрали по вам некоторые данные, ваш компьютер или телефон будет подключаться к поддельной сети, так как имя этой сети уже использовалось ранее.
• Если у вас возникли проблемы с подключением к Wi-Fi сети, посмотрите список соседних сетей на предмет того, есть ли там копии имен вашей сети.
• Если роутер просит вас ввести пароль с целью включения интернета для обновления прошивки или показывает вам страницу с множеством грамматических ошибок, весьма вероятно, что вы подключились к поддельному хотспоту, и кто-то пытается украсть вашу учетную запись.

Дополнительные хаки

Более продвинутые пользователи могут ознакомиться с еще двумя руководствами: Same Origin Policy Facebook hack и Facebook Password Extractor (второй метод немного попроще).

Как защититься

• В настройках аккаунта (Account Settings) в разделе, связанным с безопасностью (Security) поставьте флажок напротив опции Secure Browsing. Firesheep не сможет перехватывать cookie, если вы будете работать через защищенный протокол (например, HTTPS).
• Постоянно включенный SSL. Используйте расширения HTTPS-Everywhere и Force-TLS для Firefox.
• После завершения работы с сайтом заканчивайте сеанс авторизации. Firesheep не может поддерживать авторизацию, если вы завершили сеанс.
• Пользуйтесь только достоверными Wi-Fi сетями. Хакер может сидеть недалеко от вас в кафе Starbucks просматривать вашу почту без вашего ведома.
• Используйте VPN. Поскольку в этом случае весь ваш трафик будет шифроваться, даже если злоумышленник будет перехватывать информацию при помощи поддельной Wi-Fi, то не сможет извлечь ничего полезного.

Заключение

Социальные сети позволяют поддерживать связь со старыми друзьями и знакомиться с новыми людьми. Можно в несколько кликов создавать события, отсылать поздравительные открытки, признаваться в любви родителям и второй половине.

Даже учитывая существующие возможности взлома вашего аккаунта, которые мы рассмотрели, социальными сетями вполне можно пользоваться и оставаться защищенным. Стоит лишь предпринять определенные меры и несколько раз подумать прежде, чем вы хотите что-то опубликовать в своем профиле. Чем меньше информации вы публикуете, тем труднее хакерам получить доступ к вашей учетной записи.

Если вдруг ваш аккаунт в Facebook взломали, в этом руководстве описываются шаги по восстановлению доступа к учетной записи.

Кроме того, отчасти можно отслеживать, кто просматривает ваш профиль.