Sumar articol:
YouTube, principalul provider mondial de continut multimedia transmis online, atinge constant noi si noi culmi in ceea ce priveste popularitatea sa in randul maselor. Aproximativ doua miliarde de utilizatori lunari si cinci miliarde de video-uri urmarite in fiecare zi – aceste statistici impresionante vorbesc de la sine, iar cifrele cresc in mod constant, an dupa an. Toata lumea adora YouTube, iar asta este o certitudine! Din pacate, insa, acest lucru este valabil si pentru cei care comit infractiuni cibernetice, doar ca ei iubesc YouTube-ul in felul lor infam.
Persoanele sau gruparile rau intentionate sunt atrase de publicul tot mai mare pe care il are acest serviciu, si tocmai de aceea zona potentiala de atac este uriasa si reprezinta fara doar si poate o adevarata mina de aur de oportunitati.
Cu toate acestea, compromiterea arhitecturii IT a unui astfel de gigant avansat al tehnologiei este un obiectiv destul de greu realizabil, chiar si pentru escrocii de top, cu extrem de multe resurse ofensive la dispozitie. Tocmai de aceea vectorii de exploatare se rezuma in mare parte la escrocherii de inginerie sociala, dar tacticile sunt mai sofisticate decat postarea unor simple hiperlinkuri frauduloase in comentariile video-urilor virale.
Printre cele mai comune tipuri de atacuri se numara farsele care vizeaza proprietarii de canale YouTube si cele care ii au in vizor pe utilizatorii obisnuiti ce viziteaza in mod obisnuit serviciul pentru a urmari video-uri de interes.
Vom vedea in cele ce urmeaza care sunt inselatoriile care domina in prezent ecosistemul infractionalitatii cibernetice din acest sector.
Incercarile de aflare a parolelor de YouTube
Autorii fraudelor pot pretinde, atuci cand isi contacteaza victimele, ca sunt reprezentanti ai echipei de suport a celor de la YouTube, incercand astfel sa pacaleasca utilizatorii activi sa isi dezvaluie datele de logare.
Una dintre cele mai recente incercari de acest tip, care a fost extrem de discutata in mass media, a avut loc in luna mai a anului 2019. Proprietarul unui canal destul de popular de YouTube, numit TeslaJoy, a primit un email de tip phishing de la un expeditor care sustinea ca este “Echipa YouTube”. Acest mesaj era camuflat ca o alerta care il informa pe proprietarul canalului ca Echipa YouTube a detectat multiple incalcari ale politicii in timpul procesului de revizuire a site-ului.
Escrocii sustineau apoi ca au nevoie de o analiza mai amanuntita pentru a rezolva problema, iar pentru a grabi procesul, i s-a cerut YouTuberul-ului in vizor sa ofere mai multe detalii, inclusiv parola canalului. Evident, o echipa autentica de suport nu ar cere niciodata credentialele unui utilizator pentru a rezolva vreun fel de problema. Insa nu acesta a fost cel mai important indiciu lasat de escroci.
Probabil ca inselatoria ar fi mers, daca nu ar fi existat si alte cateva greseli batatoare la ochi pe care atacatorii le-au comis. Una dintre ele a fost numele gresit al strazii – Cher Ave. in loc de Cherry Ave. – din adresa biroului principal al companiei. Codul postal era, de asemenea, gresit si el.
In plus, notificarile erau trimise pe adresa de email publica a detinatorului contului de YouTube si nu pe adresa folosita pentru a interactiona in mod obisnuit cu reprezentantii site-ului. Toate aceste indicii au permis victimei sa identifice frauda, sa o raporteze catre YouTube si sa informeze si pe cei din mediul virtual in legatura cu tentativa, astfel incat sa nu existe alti utilizatori care sa cada in aceasta capcana.
Santajul si extorsiunea prin raportari false privind incalcarea politicilor
O alta tehnica ce ii are in vizor pe creatorii de continut abuzeaza de sistemul celor de la YouTube de incalcare a politicilor. Potrivit acestui sistem, orice utilizator al retelei poate trimite rapoarte de incalcare daca observa ca un canal anume nu se supune regulilor de copyright sau incarca materiale violente, pline de ura, sau cu continut sexual pe platforma. In cazul in care un youtuber primeste trei astfel de raportari in decursul a trei luni, contul sau poate fi dezactivat.
Escrocii profita de aceste practici, marcand in mod repetat continutul unui utilizator drept inadecvat, pana cand tinta lor primeste doua notificari de incalcare si este la un pas distanta de suspendarea contului. Acesta este modul in care un scammer cunoscut drept “VengefulFlame” a procedat cu doua canale de YouTube, pana cand a fost demascat. Dupa ce tintele sale au primit un numar critic de raportari, santajistul i-a contactat pe utilizatori si le-a cerut o suma de bani pentru a preintampina ca acestia sa primeasca si al treilea si ultimul raport. Valoarea rascumpararii mergea de la 75 la 200 de dolari in bitcoin, sau 150 – 300 de dolari in contul de PayPal, in functie de numarul de subscriberi ai canalului.
Cand doua dintre tintele santajului, Logan si Kenzo, au informat comunitatea cu privire la aceasta escrocherie cu care se confruntau, incidentele au avut parte de vizibilitate si au fost aduse in atentia celor de la YouTube. In cele din urma, situatia a fost rezolvata pentru ambele conturi. Cu toate acestea, faptul ca escrocii pot exploata cu atat de multa usurinta politicile retelei pentru scopurile lor negative a lasat un gust amar utilizatorilor YouTube.
Atragerea Urmatorilor canalelor de YouTube sa completeze sondaje false
Nici vizitatorii obisnuiti ai retelei YouTube, care nu detin un canal propriu pe site, nu sunt complet la adapost de astfel de inselatorii si nu se pot considera in siguranta.
In cadrul unei campanii de scam de mare anvergura, escrocii momeau utilizatorii sa ofere detalii personale si sa completeze sondaje scurte, in schimbul unui cadou. Pentru ca inselaciunea sa para credibila, ei se foloseau in primul rand de modul specific in care platforma afiseaza numele de cont.
Reteaua permite oricarei persoane care isi creaza un cont nou sa isi aleaga un nume de utilizator si un avatar identice cu acelea ale altui canal. In acest mod, escrocii se pot da drept vedete atunci cand trimit cereri de prietenie altor utilizatori de pe YouTube, chiar si oamenilor care lasa pur si simplu un comentariu sau se aboneaza la un canal. Daca o astfel de cerere este acceptata, escrocii pot trimite mesaje directe victimelor care nu suspecteaza nimic, prin sistemul de mesaje interne, chipurile in numele influencerului.
Cand ajung la victimele vizate, escrocii le spun acestora ca au fost selectati random din lista de subscriberi si ca au sansa de a primi un “cadou surpriza”. Pentru a revendica premiul (un iPhone X in cele mai multe dintre cazuri) utilizatorilor li se cere sa ofere informatii personale de identificare, printre care si numele si adresa. Procesul implica in plus si o serie de verificari, inclusiv verificarea umana, care este practic un chestionar deghizat.
Escrocii din spatele acestei fraude fac bani atragand victimele sa completeze diverse chestionare. In plus, ei pot vinde advertiserilor si altor parti interesate toate datele personale colectate. In timp, victimele ajung sa dea click pe mai multe linkuri, dezvaluind detalii sensibile si completand chestionare false doar pentru a realiza ca si-au pierdut timpul si nu vor primi niciun cadou pana la urma.
Consideratii finale
Din fericire si spre meritul sau, YouTube continua sa fie o nuca greu de spart pentru atacatorii cibernetici. Desi patrunderea in mecanismele defensive puternice ale platformei este mai usor de spus decat de facut, “sepcile negre” gasesc tot felul de cai paralele si concep escrocherii care manipuleaza in principiu utilizatorii umani, mai degraba decat sistemul.
Din pacate, aceste fraude sunt pe un trend ascendent, iar vectorii de atac continua sa evolueze. Intre timp, youtuberii si utilizatorii obisnuiti ar trebui sa fie atenti la escrocheriile de mai sus si sa raporteze cat mai repede catre YouTube activitatea suspecta.
