Indice
I social network sono diventati spazi in cui condividiamo spontaneamente frammenti della nostra vita personale, professionale o sociale. Foto, commenti, reazioni, aneddoti… ogni dettaglio pubblicato può sembrare insignificante preso isolatamente. Tuttavia, messi insieme, alcune informazioni pubbliche sono sufficienti a semplificare notevolmente l’hacking di un account. Questo fenomeno non si basa solo su falle software, ma soprattutto sull’uso di dati visibili, accessibili e spesso forniti volontariamente dagli stessi utenti.
Sulla maggior parte delle piattaforme sociali, gran parte del profilo è visibile per impostazione predefinita. Nome, foto, città, interessi, relazioni, a volte anche l’indirizzo e-mail o il numero di telefono parzialmente nascosto. Questi dati costituiscono una base ideale per ricostruire un profilo preciso dell’utente.
Un account che mostra il nome esatto, la scuola frequentata, la posizione attuale e la localizzazione fornisce già diverse risposte possibili alle domande di sicurezza o agli scenari di recupero dell’account. Più queste informazioni sono precise, più il lavoro di un attaccante è facilitato.
Compleanni, feste, matrimoni o date importanti sono frequentemente condivisi sui social network. Tuttavia, questi elementi sono spesso utilizzati come riferimenti nelle password o nelle domande di recupero.
Secondo uno studio condotto da Google e Harris Poll, quasi il 20% degli utenti utilizza una data personale significativa nelle proprie password. Quando un hacker conosce la tua data di nascita, quella di un parente o un evento significativo della tua vita, ha già un insieme di ipotesi credibili da testare.
Le pubblicazioni del tipo “buon compleanno”, anche inviate da amici, rafforzano ulteriormente questa esposizione.
I social network mettono in evidenza le relazioni: famiglia, amici stretti, colleghi. Tuttavia, molti metodi di recupero dell’account si basano ancora su domande come il nome di un genitore, di un figlio o di un animale.
Quando queste informazioni appaiono pubblicamente nei commenti, nelle foto taggate o nelle pubblicazioni, la barriera di sicurezza diventa ampiamente teorica. Un hacker non ha bisogno di indovinare, osserva.
Analisi mostrano che oltre il 30% degli account compromessi tramite ingegneria sociale utilizzava informazioni visibili sul profilo della vittima.
Le ore di connessione, i luoghi visitati regolarmente, i tipi di contenuti apprezzati o commentati costruiscono una routine digitale. Questa routine permette di anticipare:
Questi elementi facilitano i tentativi di phishing personalizzati. Un messaggio inviato al momento giusto, con un tono familiare e un contesto credibile, ha molte più probabilità di successo rispetto a un attacco generico.
Le foto condivise sui social network non mostrano solo volti. Possono rivelare:
Anche quando la geolocalizzazione è disattivata, il contenuto visivo è talvolta sufficiente per identificare un indirizzo o un ambiente frequente. Ricercatori in cybersicurezza stimano che oltre il 60% delle immagini pubblicate contengono indizi sfruttabili, anche involontariamente.
Mostrare il proprio indirizzo e-mail, anche parzialmente, facilita il lavoro di un attaccante. Un indirizzo associato a un nome, un cognome e un social network permette di lanciare:
Secondo Verizon, l’81% delle violazioni degli account coinvolge un riutilizzo delle password. Un indirizzo e-mail pubblico diventa quindi un punto di accesso trasversale a diversi servizi.
Anche pubblicazioni vecchie, a volte dimenticate, possono essere sfruttate. Uno stato precedente che menziona un trasloco, una scuola frequentata o un vecchio lavoro rimane visibile e può essere incrociato con informazioni più recenti.
Gli hacker non si concentrano solo sugli ultimi contenuti. Analizzano l’intero storico per ricostruire una cronologia coerente e credibile, utile per ingannare i sistemi automatizzati o i supporti clienti.