Określenie „Meta nie wydaje się mieć ostatnio dobrej prasy” to spore niedopowiedzenie. Fałszywe reklamy z celebrytami? Nie znikają. Różnej materii oszustwa, na których pieniądze tracą zwykli internauci? Piotr Zarzycki dowiódł zarówno na OhMyHack jak i na ostatniej konferencji Confidence, iż niezmiennie mają się dobrze. A to nie wszystko. Reklamujesz się na Facebooku? Ciebie oszuści też mają na oku.
Jeśli jesteście stałymi czytelnikami naszej strony możecie mieć inne wrażenie, ale Facebook bywa wykorzystywany również do legalnych reklam. Szacuje się, iż przez cały 2025 przez platformy spod szyldu Meta przepłynie 160-200 mld dolarów, zaś jeżeli chodzi o Polskę – 3,5 do 4,5 mld złotych. Wielkie pieniądze to szeroka grupa docelowa. Nic więc dziwnego, iż reklamują się tam nie tylko oszuści, ale i zwykli ludzie. A jeżeli oszuści się reklamują – to czyhają na Facebooku na uczciwych przedsiębiorców.
Kupujesz reklamę? Czekaj na phishing
Próba phishingu zaczyna się krótko po tym, gdy wykupisz reklamę w społecznościowym gigancie. Gdy dokonasz formalności, reklama pojawia się w systemach Facebooka. Przestępcy – czy raczej przygotowane przez nich skrypty – obserwują je i jeżeli pechowo trafią na Twoją, możesz się spodziewać e-maila podobnego do poniższego:
W skrócie: mamy budzący emocje tytuł (Twoja reklama została tymczasowo zawieszona), duża i wyraźna informacja (Masz 30 dni na podjęcie działania) i niebieski przycisk „Odwołanie”. Mail niczym z podręcznika socjotechnika. Oczywiście nadawcą nie jest Facebook. O ile widzimy nazwę „MetaSupport” to pod nią kryje się losowy adres w domenie dhedu[.]tokyo.
Jeśli reklamujesz się na Facebooku wygląd wiadomości raczej nie wzbudzi Twojego niepokoju. Dokładnie takie maile wysyła Meta, gdy wykryje jakieś problemy związane z Twoją reklamie. Co więcej – dwa widoczne w treści linki (integrity check i Community Standards) prowadzą do prawdziwych stron Facebooka. Jedynym złośliwym odnośnikiem jest ten pod przyciskiem „Appeal”.
Mocno podejrzany Vercel
Co się stanie, gdy spróbujemy się odwołać? Pod przyciskiem mamy skrótowiec hxxps://rebrand[.]ly/a5bf7d, prowadzący do docelowej domeny hxxps://rbfgccyoxiabbikbtigcaiqrrhamgyiaxbf3gdsydqgeeaaygwe.vercel[.]app/id/10001295698689.html. Vercel to platforma chmurowa stworzona z myślą o hostowaniu i wdrażaniu aplikacji webowych. Forma subdomeny może dowodzić, iż przestępcy wykorzystywali tę witrynę regularnie do swoich celów. Czy raczej wciąż wykorzystują – kwerenda w serwisie Urlscan wykazuje sporo podejrzanych stron w tej domenie.
Numer rzekomej sprawy dotyczącej naruszenie polityk Meta jest oczywiście fałszywy. Co trzeba zrobić, by zgłosić odwołanie? Dodatkowe informacje nie są istotne, i tak nikt tego nie będzie czytał. najważniejsze jest zalogowanie się do Facebooka, czyli de facto podanie oszustom naszych poświadczeń logowania. Co się wtedy stanie? Strona, którą administrujemy będzie pokazywać scamowe reklamy, o których regularnie piszemy na tych łamach. Stracimy pieniądze, a jeżeli nasz fanpage jest popularny – rysa na wizerunku może okazać się znacznie bardziej kosztowna.
Jak uniknąć ryzyka, gdy reklamujesz się na Facebooku?
Czy tego typu sytuacje zdarzają się często? Użytkownicy, z którymi rozmawialiśmy najczęściej używali zwrotu:
Firmy reklamujące się w Meta są totalnie bombardowane phishingami
I to nie tylko w Polsce. Kampanie phishingowe wysyłane są też w językach niemieckim, angielskim, francuskim, czy hiszpańskim. Poza rzekomym zagrożeniem blokadą konta używana jest też popularna w phishingu „na przesyłkę” konieczność dopłaty drobnej kwoty. Ta druga wersja kończy się kradzieżą danych karty lub przekierowaniem na fałszywą bramkę płatności.
Jak sobie z tym poradzić? Przede wszystkim jeżeli reklamujesz się na Facebooku to obowiązkowo dodatkowo zabezpiecz konto uwierzytelnianiem dwuskładnikowym, najlepiej przy użyciu klucza sprzętowego. Nie zapominaj też o żelaznych zasadach związanych z phishingiem:
- jeśli coś wywołuje w Tobie emocje – sprawdź bardzo dokładnie o co chodzi
- gdy ktoś każe Ci się logować, upewnij się, czy adres strony jest prawidłowy
Czy zgłosić phishing do Meta? Nie zaszkodzi. Czy to coś da? A to już inna sprawa…
