Comment une faille d’ingénierie sociale a transformé ces pages Facebook en dépotoir de spam

Hannah Shaw, mieux connue sous le nom de « Kitten Lady », enseigne aux gens comment s’occuper de chatons nouveau-nés et a levé plus d’un million de dollars pour les refuges et les sauvetages d’animaux. Sa page Facebook a gagné plus d’un million de followers depuis qu’elle a commencé à produire du contenu pour chat, mais elle a failli tout perdre à cause d’une piraterie par ingénierie sociale qui a pris le contrôle de son compte professionnel Meta. « J’ai construit cette communauté pendant plus d’une décennie. Penser que je pourrais la perdre était assez dévastateur », a déclaré Shaw. Les influenceurs comptent sur des plateformes telles que Facebook, Instagram et YouTube pour gagner leur vie. Ces sites ont évolué de simples outils permettant de développer des projets annexes à la source unique de revenus pour certains créateurs de contenu. Cependant, les mauvais acteurs ont trouvé des moyens de tirer également profit de ceux qui gagnent honnêtement leur vie sur ces plateformes. Oui, les pirates de haut niveau ont tendance à cibler les entités disposant de ressources importantes, en leur attribuant des attaques extrêmement complexes. Mais une grande partie de la criminalité numérique d’aujourd’hui est liée à des emplois d’ingénierie sociale, en dérobant des créateurs de contenu de niveau moyen ayant beaucoup moins de ressources qu’une multinationale, mais également beaucoup moins de connaissances techniques. Une créatrice qui se fait appeler Hobby Bobbins – qui a acquis une solide fanbase au sein de son niché de restauration de vêtements vintage – m’a expliqué comment tout cela lui est arrivé. L’attaque s’est déroulée en suivant presque les mêmes étapes qui ont conduit à la prise de contrôle du compte de Shaw. Tout a commencé avec une demande d’entrevue de la part d’une personne se faisant appeler Rex Hall, qui se présentait comme manager de l’émission « Podcast and Chill with MacG ». Il semble s’agir d’un vrai podcast, bien que personne nommé Rex Hall ne semble y être associé publiquement. (Nous avons contacté les animateurs du podcast pour savoir s’ils étaient au courant que leur marque était utilisée pour perpétrer une escroquerie par ingénierie sociale et n’avons pas reçu de réponse.) « Podcast and Chill » est basé en Afrique du Sud et, selon sa biographie Twitter, son objectif est en partie de « documenter l’excellence noire ». Il ne se concentre pas spécifiquement sur les sujets abordés par Shaw ou Bobbins, tels que le bien-être animal ou les vêtements vintage. Mais les influenceurs reçoivent constamment ce type de demandes, les hôtes du podcast ont une empreinte numérique et « Rex » était en mesure de répondre à toutes les questions que Bobbins a pu avoir. L’acteur malveillant a demandé à ses cibles de participer à un appel Zoom pour préparer l’entrevue, y compris la configuration de Facebook Live pour générer des revenus. « Au début, tout semblait normal. La seule chose étrange, c’était qu’il ne voulait pas être filmé. Mais ce n’est pas trop étrange, beaucoup de gens ne veulent pas être à l’écran », a déclaré Shaw. Après un labyrinthe de allers-retours sur les paramètres du backend, l’escroc conduit ses victimes vers une page du backend appelée « datasets ». Il s’agit d’une page obscure, souvent utilisée pour donner aux gens un accès administrateur à un compte professionnel. Mais les victimes ont pensé que c’était une partie normale de la configuration de Facebook Live car elle comprend des options de gestion d’événements.