Ny typ av nätfiske på Facebook

Trawler deflivering fish. Tromsö, Norway. Photo Credit: Gaute Bruvik

Häromdagen såg jag en ny typ av bluffannons dyka upp på Facebook. Själva annonsen känner man igen lite från tidigare. Återigen figurerar kronprinsessan och en "skandalös intervju". Och vi får veta att "INGEN VISSTE ENS OM DET. SVERIGE ÄR CHOCKAT". Lite märklig är dock utformningen för vi ser själva annonsinnehållet längst ner i högra hörnet, och resten är "överkluddade" annonser som ser ut som något som handlar om vanlig heminredning. 

Och jag vet redan vad detta handlar om. Den person som äger annonskontot (hennes namn syns längst upp till vänster) har fått sitt annonskonto kapat. På grund av slarv med administration och nyckeladministration har hon, och tusentals andra Facebook-annonsörer blivit av med kontrollen av sina annonser, och ofrivilligt blivit megafoner åt massvis med brottslingar. Mellan tummen och pekfingret bedömer jag att 9 av 10 av alla bedrägeriannonser jag sett senaste månaderna är just denna typ av kapningar. Och de som blir kapade kan få stora problem och så här ser det ut på deras sida. 

Så här såg annonsen ut: 

Men nu ska vi titta på var vi hamnar om man klickar på annonsen. Här kommer en komplett skärmdump. 

 

Och nu blir det intressant. Den "skandalösa intervjun" förändras till en enkel faktasida om vår tronföljare. Det är bara rubriken som sticker ut, resten av texten ser ganska beskedlig ut, ja rentav sympatisk. Man ser inte skymten av några skumma länkar till "bitcoin-investeringar" eller liknande. Och nu kommer frågan: Vad är det som är så farligt med detta då? Vi som jobbar med cybersäkerhet plockar nu fram lite vassare verktyg, och jag lät först en virus-scanner titta på länken. Detta gjorde jag i två steg. 

Först lät jag tjänsten urlscan.io hitta trafikmönster m.m. Här hittade jag en s.k. "effective URL" och då körde jag den i scam-detectorn Scamadvisor. Detta blev slutbeskedet. 

Ser inte så bra ut, eller hur? För att gå ett steg längre så tog jag också en titt i en så kallad sandbox-tjänst som kan gräva djupare. 

Den intresserade läsaren kan gå igenom alla detaljer i rapporten, men vi nöjer oss här med sammanfattningen. 

Verktyget har alltså med hög säkerhet klassificerat sidan som nätfiske på nivån skadlig. En fråga man nu ställer sig är vad allt detta handlar om. Var finns nätfisket? Hur försöker man lura besökaren? Jag hittar det jag med stor sannolikhet är boven: Längst upp till höger i artikeln finns en inmatningsruta för e-postadress och sätta upp en "prenumeration för ett nyhetsbrev". Jag lovar att den som faller i den fällan kommer råka ut för otrevliga överraskningar längre fram, kanske i form av egendomliga kontaktförsök, mejl med skadlig kod (virus) etc. 

Och bedömningen av denna webbsida som skadlig kod känns solid. Och då undrar jag varför Facebook inte kan dra samma slutsats? De har ofantliga datorresurser till sitt förfogande, men uppenbarligen går de bet på detta som en ganska enkel sandbox-tjänst hittade på någon minut. 

Så jag återkommer till min slutsats: Facebook är en farlig tjänst att vistas på för alla de som inte är riskmedvetna och saknar grundläggande kunskaper. Det är rentav farligt för mer "streetsmarta" personer också. (Jag kan avslöja att jag själv höll på att klicka fel för några dagar sen, och det började hända saker, men jag räddades elegant av mitt antivirusprogram).