Meta avvisa 1 milione di utenti: 400 app rubano il tuo account Facebook

Meta Platforms avverte circa 1 milione di utenti di Facebook che le credenziali del loro account potrebbero essere state compromesse da app di terze parti Apple o Google Store. In un nuovo rapporto, i ricercatori di sicurezza dell’azienda affermano di avere identificato nell’ultimo anno più di 400 app progettate per dirottare le credenziali dell’account Facebook degli utenti. Siamo di fronte a un vero e proprio furto dati Facebook? Scopriamo quello che è accaduto.

Meta ha rivelato l’entità del problema cercando di risolverlo con Google e Apple. Secondo la società, le app sono mascherate da servizi “divertenti o utili”, come editor di foto, app per fotoritocco, servizi VPN, app per oroscopo e strumenti di monitoraggio del fitness.

Come funziona? Le app spesso richiedono agli utenti di “Accedere con Facebook” prima di poter accedere alle funzionalità promesse. Ma queste funzionalità di accesso sono semplicemente un mezzo per rubare le informazioni sull’account degli utenti di Facebook. Non solo. Il direttore di Threat Disruption di Meta, David Agranovich, ha notato che molte delle app identificate da Meta erano a malapena funzionanti.

“Molte delle app fornivano poche o nessuna funzionalità prima dell’accesso e la maggior parte non forniva alcuna funzionalità anche dopo che una persona ha accettato di accedere”, ha detto Agranovich durante un briefing con i giornalisti.

Furto di dati Facebook da 400 app 

Meta ha affermato di aver informato sia Apple che Google del problema per facilitare la rimozione delle app, ma che spetta ai rispettivi store rimuovere le app. Nel frattempo, Facebook sta inviando avvisi a 1 milione di persone che potrebbero aver utilizzato le app responsabili del furto dati Facebook. Le notifiche informano gli utenti che le i dati dell’account potrebbero essere stati compromessi da un’app, senza indicare quale. Quindi, consigliano di reimpostare le password.

Apple ha affermato che 45 delle 400 app incriminate erano sul suo App Store e sono state rimosse. Sia Apple che Google hanno confermato che tutte le app identificate da Meta sono state rimosse dai rispettivi app store. “Tutte le app identificate nel rapporto non sono più disponibili su Google Play”, ha affermato un portavoce di Google in una nota. “Gli utenti sono anche protetti da Google Play Protect, che blocca queste app su Android”.

App che rubano i dati Facebook: come proteggersi

Ma quali sono le app interessate a questo trucchetto? Abbiamo già parlato della possibilità di rischi per quelle funzionalità attrattive come i siti e le app usate per trovare il proprio sosia. Sappiamo anche che il tracciamento degli utenti si avvale di sistemi decisamente avanzati, come avviene per il browser di TikTok e Instagram. Per non dire che è ormai certo che lo smartphone ci ascolta, come segnalato più vole anche dal Garante della Privacy.

“I criminali informatici sanno quanto siano popolari questi tipi di app e utilizzeranno temi simili per ingannare le persone e rubare i loro account e informazioni”. Sono state queste le parole di David Agranovich. “Se un’app promette qualcosa di troppo bello per essere vero, come funzionalità inedite per una piattaforma o un sito di social media, probabilmente ha secondi fini”.

Il problema si verificherebbe, ad esempio, dopo che un utente ha scaricato una delle app dannose. L’app richiede un accesso a Facebook per funzionare oltre le funzionalità di base, inducendo così l’utente a fornire il proprio nome utente e password. Gli utenti possono quindi, ad esempio, caricare una foto modificata sul proprio account Facebook. Ma nel processo hanno inconsapevolmente compromesso il loro account concedendo l’accesso all’autore dell’app.

Meta ha affermato che condividerà suggerimenti con potenziali vittime su come evitare di essere “ri-compromessi” imparando a individuare meglio le app problematiche che rubano le credenziali, sia per Facebook che per altri account.

L’attività dannosa si è verificata al di fuori dei sistemi Meta, ha affermato Agranovich, aggiungendo che non tutte le persone interessate hanno necessariamente le loro password compromesse.

Ad ogni modo ci troviamo in un momento particolarmente delicato per la vulnerabilità dei sistemi, con Google Chrome browser più vulnerabile del 2022.