Facebook: la Domanda di Sicurezza e il Social Engineering

Chi di voi ancora non è su Facebook alzi la propria mano. E anche se affermate di non esserlo sapete quanto questo fenomeno sia in voga in questo momento nel nostro paese. Lungi da me fare considerazioni filosofiche. Bastano la TV, i giornali e la radio con tutti i vari e nuovi psico-socio-tecno-esperti che si gettano nell'arena mediatica per dare il loro prezioso (secondo loro) parere su Facebook.

Facebook, per aumentare - sostengono - la sicurezza degli utenti, sta chiedendo da un po' di giorni ad ogni suo iscritto di scegliere la fatidica "Domanda di sicurezza" ed inserire quindi la relativa "risposta". Nulla di strano. Molti sistemi prevedono questo meccanismo di backdoor nel caso in cui l'utente si sia scordato la password di accesso al sistema (anche se personalmente sono dell'opinione che è più un rischio che una risorsa di sicurezza).

Osservando però le diverse domande che Facebook propone, ci si rende conto che quelle domande, e le relative risposte, possono essere davvero una falla nella sicurezza per le identità virtuali degli utenti di Facebook. Eccone alcune:

• "Il Cognome di tua madre"
  
• "Il secondo nome di tuo padre"
  
• "Il nome del tuo cane"
  
• etc.

Sappiamo tutti che il comportamento tipico degli utenti di Facebook è di riversare buona parte della propria vita sociale in questo portale, spesso inserendo dati e fatti personali come nomi di amici, gatti, cani, date di eventi quali feste, lauree, matrimoni, etc. Poiché però le domande di sicurezza proposte sono relative proprio al contesto sociale dell'utente Facebook, le relative risposte non sono certo difficili da carpire con un po' di Social Engineering.

Nella migliore delle ipotesi un amico burlone, per farvi uno scherzo, potrebbe cominciare a porvi domande per poi carpirvi il dato che gli interessa e rubarvi quindi l'identità su Facebook. E finché lo fanno gli amici ci si scherza su (ma non troppo) e basta.

Ma qualcuno ben più malintenzionato potrebbe iscriversi su Facebook con il nome di un vostro amico (provate a vedere quanti Valentino Rossi ci sono), chiedervi di aggiungerlo fra i vostri amici (e voi lo fareste perché vedreste solo la foto del vostro amico e qualche amico che magari come voi si sarà aggiunto erroneamente) e poi tranquillamente potrebbe iniziare una sessione di Social Hacking.

Sono pronto a scommettere che qualcuno arriverà prima o poi anche a chiedere riscatti con soldi (veri) per furto di identità virtuali su Facebook.

Insomma la domanda segreta di Facebook non mi sembra proprio una bella trovata e, pensandoci bene, Facebook stesso mi sembra un ottimo strumento di Social Engineering in generale :-)