Da asporto chiave
- Meta ha ampliato il suo programma di ricompense dei bug per rafforzare la sua piattaforma e gli utenti contro gli scraper di dati.
- In passato lo scraping dei dati ha portato gli hacker ad accumulare informazioni su oltre 300 milioni di utenti.
-
Meta afferma di essere il primo a premiare i ricercatori per il loro aiuto a regnare nello scraping dei dati.
Ti sorprenderebbe sapere che i programmi automatizzati spazzano le piattaforme dei social media come Facebook per raccogliere tutte le informazioni accessibili pubblicamente e raccoglierle all'interno dei database? Le singole informazioni potrebbero non essere di grande utilità, ma insieme possono consentire agli hacker di perpetrare tutti i tipi di reati digitali, come il furto di credenziali e gli attacchi di phishing. E Meta ne ha avuto abbastanza.
Mentre il social network stesso adotta misure per catturare e ridurre questi programmi automatizzati chiamati scraper, la piattaforma ha ora deciso di avvalersi dell'aiuto di ricercatori di sicurezza indipendenti espandendo i suoi programmi di ricompense di bug. Il suo obiettivo non è solo correggere i bug che lasciano trapelare tali dettagli sui suoi utenti, ma anche aiutare a trovare tali database che contengono informazioni raschiate.
"Il programma di ricompense dei bug aiuterà a colmare le lacune nelle difese di Facebook contro lo scraping e avviserà Meta di database raschiati che emergono sul Web", ha detto a Lifewire via e-mail Paul Bischoff, difensore della privacy ed editore del sito di ricerca Infosec Comparitech.
La minaccia raschiante
Meta ha definito lo scraping una "sfida a livello di Internet" quando ha annunciato l'espansione del suo programma di ricompense dei bug, inizialmente progettato per trovare problemi software nel codice che alimenta la piattaforma.
Secondo Bischoff, molte piattaforme hanno vietato l'uso di scraper, anche per le informazioni che detengono pubblicamente accessibili. Questo perché le informazioni di identificazione personale (PII), come nomi utente, date di nascita, indirizzi e-mail e posizione, sono spesso utilizzate da malintenzionati per prendere di mira gli utenti in elaborate campagne di ingegneria sociale.
Il programma di ricompense dei bug aiuterà a colmare le lacune nelle difese di Facebook contro lo scraping e avviserà Meta di database scrappati…
Tuttavia, Bischoff aggiunge che Facebook ha faticato a distinguere tra scraper e utenti legittimi, il che ha provocato enormi perdite di dati in passato. Indica in particolare la fuga di notizie emersa nel marzo 2020 quando Comparitech ha collaborato con il ricercatore di sicurezza Bob Diachenko e ha scoperto un database che conteneva gli ID utente e i numeri di telefono di oltre 300 milioni di utenti di Facebook.
Ma lo scraping non è del tutto illegale, nella migliore delle ipotesi esiste in un'area grigia tecno-legale poiché ha anche usi legittimi.
"Anche se lo scraping è contro i termini di utilizzo di Facebook, non è strettamente illegale. Alcune operazioni di scraping sono dannose, ma altre sono accademiche o giornalistiche ", ha chiarito Bischoff.
Volevo DOA
Nell'annuncio dell'espansione del programma bug bounty, Facebook ha affermato che sin dal suo inizio, l'iniziativa bug bounty ha assegnato oltre 800 taglie, per un totale di oltre $ 2,3 milioni a ricercatori di oltre 46 paesi. Affrontare "nuove sfide" come lo scraping è stata un'estensione naturale del programma.
Anche se lo scraping è contro i termini di utilizzo di Facebook, non è strettamente illegale.
Secondo Meta, il programma ampliato di ricompense dei bug ricompenserà i ricercatori della sicurezza su due fronti.
Uno, come parte della sua strategia di sicurezza più ampia per rendere lo scraping più difficile e "più costoso" per gli attori delle minacce, Meta premierà i rapporti sui bug nella sua piattaforma che i malintenzionati possono sfruttare per aggirare le barriere che ha eretto per dissuadere lo scraping.
In secondo luogo, la piattaforma ha affermato che premierà anche i cacciatori di taglie di dati che lo informano sui database non protetti disponibili online che contengono le PII raschiate di almeno 100.000 utenti unici di Facebook.
"Se confermiamo che le PII dell'utente sono state cancellate e sono ora disponibili online su un sito non Meta, lavoreremo per adottare le misure appropriate, che possono includere la collaborazione con l'entità pertinente per rimuovere il set di dati o cercare mezzi legali per garantire che il problema venga risolto", ha osservato Meta nell'annuncio.
Ha aggiunto che se lo scrape fosse dovuto a un'errata configurazione nell'applicazione di uno sviluppatore esterno, la piattaforma avrebbe collaborato con lo sviluppatore per tappare la perdita. D' altra parte, si adopererà anche per garantire che il servizio di hosting in cui gli hacker hanno ospitato il database raschiato lo interrompa.
Le ricompense per le ricompense di scraping partono da $ 500 e, sebbene i bug di scraping comportino pagamenti in denaro, le informazioni sui database raschiati verranno assegnate sotto forma di donazioni di beneficenza a organizzazioni senza scopo di lucro a scelta dei giornalisti.
"Per quanto ne sappiamo, questo è il primo programma di taglie per lo scraping bug del settore", ha riassunto Meta. "Lavoreremo per rispondere al feedback dei nostri migliori cacciatori di taglie prima di espandere l'ambito a un pubblico più ampio."
