Comment une escroquerie d’ingénierie sociale a transformé ces pages Facebook en décharge pour les spam

Hannah Shaw, mieux connue sous le nom de «Kitten Lady», enseigne aux gens comment s’occuper de chatons nouveau-nés et a levé plus d’un million de dollars pour les refuges d’animaux et les sauvetages. Sa page Facebook a gagné plus d’un million de followers depuis qu’elle a commencé à faire des contenus de chat, mais elle a presque tout perdu à une tentative d’usurpation d’identité par ingénierie sociale qui a pris le contrôle de son compte professionnel Meta. «J’ai construit cette communauté depuis plus d’une décennie. Penser que je pourrais tout perdre était assez dévastateur», a déclaré Shaw. Les influenceurs comptent sur des plateformes telles que Facebook, Instagram et YouTube pour leur revenu. Ces sites ont évolué d’outils permettant de développer des projets annexes à la seule source de revenus pour certains créateurs de contenu. Cependant, les mauvais acteurs ont trouvé des moyens de tirer également parti de ceux qui gagnent honnêtement leur vie ici. Oui, les pirates informatiques de haut niveau ont tendance à cibler des entités ayant des fonds importants, en leur attribuant des attaques extrêmement complexes. Mais une grande partie de la criminalité informatique d’aujourd’hui est composée de jobs d’ingénierie sociale, en volant des créateurs de milieu de gamme ayant beaucoup moins de ressources qu’une multinationale, mais également beaucoup moins de connaissances techniques. Une créatrice qui se fait appeler Hobby Bobbins – qui a gagné un culte au sein de sa niche de restauration de vêtements vintage – m’a expliqué comment tout cela lui était arrivé. L’attaque s’est produite presque exactement aux mêmes étapes qui ont abouti à la prise de contrôle du compte de Shaw. Tout a commencé avec une demande d’entrevue de la part d’une personne se faisant appeler Rex Hall, qui se présentait comme étant le manager de l’émission «Podcast and Chill with MacG». Il semble s’agir d’un vrai podcast, bien que personne ne portant le nom de Rex Hall ne soit publiquement associé à celui-ci. (Nous avons contacté les animateurs du podcast pour déterminer s’ils étaient au courant que leur marque était utilisée pour perpétrer une escroquerie par ingénierie sociale et n’avons pas reçu de réponse.) «Podcast and Chill» est basé en Afrique du Sud et, selon sa biographie Twitter, il a pour but, entre autres, de «documenter l’excellence noire». Il ne se concentre pas spécifiquement sur les sujets abordés par Shaw ou Bobbins, tels que le bien-être animal ou la restauration de vêtements vintage. Mais les influenceurs reçoivent ces demandes en permanence, les animateurs du podcast ont une empreinte numérique et «Rex» était en mesure de répondre à toutes les questions que Bobbins avait. L’acteur malveillant a demandé à ses cibles de sauter sur un appel Zoom pour préparer l’entrevue, y compris la configuration de Facebook Live pour générer des revenus. «Au début, tout semblait normal, la seule chose étrange était que sa caméra ne fonctionnait pas. Mais ce n’est pas trop étrange, beaucoup de gens ne veulent pas être à l’écran», a déclaré Shaw. Après un labyrinthe de retours en arrière sur les paramètres du backend, l’escroc amène ses victimes à une page du backend appelée «datasets». Il s’agit d’une page obscure, souvent utilisée pour donner aux gens un accès administrateur à un compte professionnel. Mais les victimes ont pensé que c’était une partie normale de la configuration de Facebook Live, car elle inclut des options de gestion d’événements.