Ile "cudownych" usług można polubić nieświadomie, czyli Facebook bezpieczny inaczej

Autorem wpisu jest Michał Rawluk.
Całkiem niedawno powiedziałem sobie: Facebook tylko jako kontakt do znajomych. I trzymam się tego na co dzień. Jedynie z czego korzystam to sprawdzenie zdjęć na których mnie oznaczono, komunikator i zerknięcie na grupę z organizacji studenckiej z informacją o najbliższej imprezie/spotkaniu.

Jest jednak grupa ludzi, których linki zazwyczaj mnie interesują, więc szybki przelot czy postuje ktoś ciekawy i ewentualne sprawdzenie czyjegoś linku, czasem mi się zdarzają. Ostatnio natrafiłem na znajomego ze studiów wrzucającego dość rozrywkowo brzmiący wpis:

Jakaś lampka w głowie podpowiada, że już wchodziłem kiedyś na taki link i zdjęcie znajome. Niestety ciekawość wygrała. Klikam rolką i zerkam do nowej karty.

Czytaj dalej poniżej

Nowy Facebook jest ładny, ale co z tego? Konrad Kozłowski

Kolejna nowość od Facebooka - publikuj treści w każdym momencie Konrad Kozłowski

Od razu wiem że z filmiku nici oraz że ktoś chce mnie oszukać na co najmniej „like”. Ale wczytałem się, bo zabezpieczenie Antyspamowe brzmi w miarę poważnie, ktoś może się nabrać. Potwierdzenie SMS to już czyste złodziejstwo. Oczywiście wymagany regulamin jest, ale trzeba go przewinąć, mimo, że strona spokojnie by się zmieściła w oknie bez paska przewijania.

Czcionka średnio czytelna (co wcale nie dziwi, gdy już poznamy treść) więc zacytujmy:

Serwis Badabee jest usługą subskrypcyjną prowadzoną przez Mobile Dialogue. Po wprowadzeniu na stronę numeru telefonu użytkownik otrzymuje PIN. Poprzez wprowadzenie na stronę numeru PIN, użytkownik potwierdza zaakceptowanie Regulaminu Serwisu. Subskrybenci serwisu codziennie otrzymują na telefon komórkowy wirtualną walutę – Monety Badabee umożliwiające korzystanie z bramki SMS do wszystkich sieci, dostępnej w serwisie. Każdemu subskrybentowi, który zgromadzi na swoim koncie 600 Monet przysługuje darmowe doładowanie konta zasubskrybowanego numeru telefonu w wybranej sieci o wartości 25 lub 30 PLN. Informacje na temat odebrania zasilenia znajdują się tutaj. Koszt tej usługi to 2,46 PLN/ dzień z VAT. Koszt operatora WAP/GPRS nie jest wliczony w cenę, jednorazowa opłata aktywacyjna dla abonentów sieci Orange oraz T-Mobile to 2,46 PLN z VAT. Dezaktywacji subskrypcji można dokonać w dowolnym momencie poprzez wysłanie bezpłatnego SMS o treści STOP BD pod numer 60235. Regulamin serwisu znajduje się tutaj. Pytania prosimy kierować do obsługi technicznej na email:support@badabee.com

Więc mamy „cudowną” usługę. Za jedyne 2,46zł dziennie możemy zbierać wirtualne pieniążki, które wymienimy na doładowanie. Spotkałem się kiedyś z czymś takim, nic nowego. Nie skorzystam z ewidentnego złodziejstwa, ale zerknę jeszcze na stronę z regulaminem.

W tym miejscu opuszczam stronę i zapamiętuje żeby nie klikać na ten link. Zastanawia mnie tylko czemu kolega informatyk wrzucił tak ewidentny spam.
Po chwili pisze do mnie dziewczyna i już wiem czemu. Ja również wrzuciłem.

Strona w chytry sposób omija zabezpieczenia guzika like i powoduje jego automatyczne kliknięcie. Sprawdziłem jak to wygląda na przeglądarce bez zalogowanego Facebooka. Strona wyraźnie się gubi i po kilku kliknięciach w obrazek podrzuca mi logowanie FB.

Poraża trochę jak lekko można, korzystając z prostego kodu w javascript, obejść uprawnienia i uzyskać dostęp do tablicy użytkownika bez jego wiedzy. Dodatkowo fakt, że to już nie chodzi o polubienie tylko o nasze pieniądze, powinien mocniej uderzyć w twórców portalu i wprowadzić dodatkowe zabezpieczenia.

Wykorzystałem to podstawowe i zgłosiłem post jako spam. Faktycznie, przy ponownym odwiedzeniu w celu zrobienia zrzutów ekranu, otrzymałem informację, że strona została oznaczona jako niebezpieczna. Nie pomogło to co prawda, bo ponownie pojawił się na mojej tablicy kolejny post, a poniżej informacji o spamie zaprezentowano mi „troskę o jakość świadczonych usług”...

Temat nie jest nowy. Na samolubiące posty trafiam od dawna. Bardziej irytuje mnie bierność Facebooka w naprawie problemu. Choćby drobiazgowy monit, bardziej widoczny niż dziennik aktywności informujący o pojawieniu się nowego wpisu na naszej tablicy, byłby dobrym narzędziem dla użytkowników do odsączania niechcianych informacji.

Pozdrawiam i przestrzegam na posty znajomych, nawet tych "ogarniętych".

Grafika.