Скрытые риски безопасности при использовании социальных сетей

Социальные медиа и социальные сети играют важную роль в нашей жизни, как личной, так и деловой. Большинство из нас пользуются услугами Facebook, LinkedIn и Twitter, в т.ч. и те, кто вовлечен в игровую и покерную индустрию. Конечно, при использовании подобного рода сайтов мы идем на определенный риск, поскольку при этом могут возникнуть проблемы, связанные с конфиденциальностью, а в некоторых случаях возможны нарушения безопасности.

Проблемы и уязвимости социальных сетей в достаточной мере освещены и известны, но риски, с которыми сталкиваются пользователи, в значительной степени занижены. Хотя в некоторых случаях могут быть основания, чтобы раскрывать личную информацию (например, маркетинг), пользователи должны быть осведомлены о рисках. Особенно это касается игроков в покер, у которых могут быть большие денежные суммы или иные ценности.

Давайте начнем с Twitter, одного из наиболее интересных сайтов в свете поднятого вопроса. Геотегинг - одна из наиболее популярных практик, при которой информация о пользователях утекает без их ведома. Wikipedia определяет геотегинг следующим образом:

... это процесс присоединения географических метаданных к различным информационным ресурсам, таким как веб-сайты, RSS, фотографии, как-либо характеризующие эти ресурсы (точка съемки, месторасположение и т. п.). Эти информация состоит, как правило, из координат широты и долготы, хотя она может включать также высоту, расстояние и направление до населенных пунктов.

Запись координат выполняют множество устройств, включая цифровые камеры и мобильные телефоны. В некоторых эта функция включена по умолчанию, в других ее должен включить пользователь. После небольшого исследования, проведенного мной, можно предположить, что большинство покерных игроков загружают фотографии в твиттер без включенной функции геотегинга. Одной из наиболее вероятной причиной этого является та, что в последних моделях телефонов данная функция отключена по умолчанию. Но у некоторых игроков она была включена осознанно или по ошибке.

Для примера рассмотрим  твиты покерного игрока Жана-Робера Белланде (@BrokeLivingJRB). Жан-Робер любит с помощью твиттера освещать свою светскую жизнь, а также указывать, где он в момент написания заметки играет в покер. Ну, в такой информации нет ничего важного, но бывают случаи, когда пользователь "делится" информацией непреднамеренно. Существует ряд инструментов, которые могут использовать эти метаданные, чтобы определить месторасположение человека.

Так, приложение Creepy позволяет собирать геолокационную информацию о пользователях из социальных сетей и сервисов размещения изображений.


На рисунке ниже показан результат по запросу для Жана-Робера, при котором использовались его записи в твиттере.


Как вы можете увидеть, получено довольно много информации. Выбрав один из его постов вы можете увидеть где он находился в момент его написания. В данном случае, он был на PCA на Багамах.

Информация о том, что Белланде участвовал в турнирах на Багамах или играл в Aria, не является слишком конфиденциальной. Но давайте используем его твиты, написанные в выходные, которые он проводил с семьей.


В то время как жизнь Жана-Робера может проходить на виду, то месторасположение дома, где живет его семья, не стоит разглашения. С приложениями, подобными Creepy, злоумышленникам легко определить человека, против которого можно совершить преступное деяние.


Например, вы разместили твит с фотографией вашего стека, заработанного в подпольной игре. Если кто-то отслеживает вас, то они узнают где вы находитесь и сколько у вас денег.

Жан-Робер не единственный известный покерный игрок, у которого включен геотегинг. Еще одним примером является Сэм Трикетт. 


Ниже скрин с его месторасположением, полученным после публикации твита во время игры в Италии.


Примечание. Жан-Робер Белланде и Сэм Трикетт были предупреждены перед публикацией статьи для принятия соответствующих мер. По просьбе Белланде были стерты координаты и  размыто изображение с картой, на которой указан дом его семьи.

Другим схожим инструментом для получения информации о пользователях социальных сетей является PushPin. Но в отличие от Creepy, который использует в качестве входных данных имя пользователя, PushPin берет геолокацию и делает запросы на множество сайтов, включая Twitter, YouTube и Instagram для получения дополнительной информации.

На скрине ниже показан инструмент в процессе выполнения запроса.


Результаты могут быть отображены двумя способами: на первом скрине указаны месторасположение на карте, на втором - социальные медиа, откуда получена информация.



Подводя мышку к соответствующей отметке на карте, вы увидите кто, когда и где был.


Читая все эти твиты из Лас-Вегаса, можно весело провести время. В то время, как большая часть этой информации кажется невинной, но если кто-то соединит небольшие частички информации из
различных источников, то он сможет начать строить ваш профиль. Эта информация затем может быть использована в социальной инженерии, для мошенничества и, возможно, более тяжких преступлений.

Как защититься?
Важно учитывать то, какую информацию вы размещаете в социальных сетях, и ограничивать размещение информации, которая может быть использована вам во вред. Убедитесь, что геотегинг отключен, если вы не используете его в деловых целях.

В твиттере в настройках учетной записи есть опция для удаления вашего месторасположения во время написания ваших предыдущих заметок.


Всегда помните - то, что вы публикуете, становится публичной информацией.

Автор: Гус Фритши, эксперт по безопасности