Beveiligingsonderzoekers van Meta hebben meer dan 400 malafide Android- en iOS-applicaties gevonden die inloggegevens van Facebook-gebruikers stalen. Naar schatting zijn één miljoen gebruikers hierdoor gedupeerd. De betreffende apps zijn inmiddels uit de Play Store en App Store verwijderd.
Dat laat Meta via een persbericht weten.
Zo stelen deze apps jouw inloggegevens van Facebook
De applicaties deden zich voor als apps voor fotobewerking, VPN-dienst, mobiele game, gezondheid, lifestyle of toepassing zoals een zaklamp. Deze apps waren te vinden in de officiële applicatiewinkels van Google en Apple. Dat ging als volgt. Ontwikkelaars maken applicaties die zogenaamd bestemd zijn voor entertainment- of zakelijke doeleinden. In werkelijkheid hebben ze maar één doel: inloggegevens stelen.
Als deze apps de controlemechanismen van Google en Apple weten te omzeilen, haalt de maker alles uit de kast om het aantal downloads te vergroten. Het publiceren van een groot aantal nepreviews waarin de app de hemel in wordt geprezen, is een belangrijk hulpmiddel. Om de app te gebruiken, moet er worden ingelogd met een Facebook-account. Zodra iemand zijn gebruikersnaam en wachtwoord invoert, wordt deze informatie door de malware verzameld en doorgespeeld aan de ontwikkelaar.
“Als de inloggegevens worden gestolen, kunnen aanvallers mogelijk volledige toegang krijgen tot iemands account en dingen doen zoals hun vrienden berichten sturen of toegang krijgen tot privégegevens”, zo waarschuwt Meta.
Verander je wachtwoord
Onderzoekers hebben in totaal 400 van deze malafide apps gevonden in de Play Store en App Store. “Cybercriminelen weten hoe populair dit soort apps zijn en gebruiken deze interesses om mensen te misleiden en hun accounts en informatie te stelen”, aldus Meta. Het moederbedrijf van Facebook zegt dat de industrie er alles aan doet om kwaadaardige apps uit de Play Store en App Store te weren, maar dat ondanks alle inspanningen apps soms alle detectiemiddelen weten te omzeilen.
Naar schatting hebben de ontwikkelaars van de apps de hand weten te leggen op de inloggegevens van één miljoen Facebook-gebruikers. Ben jij er daar één van? Dan is het verstandig om direct in actie te komen. Meta adviseert allereerst om je huidige wachtwoord te resetten en een nieuw, uniek sterk wachtwoord aan te maken. Mocht je wachtwoord worden gekraakt, dan is het niet langer mogelijk om met deze gegevens in te loggen.
‘Wees voorzichtig met het verstrekken van inloggegevens sociale media’
Om een extra beveiligingslaag aan te brengen, doe je er goed aan om je Facebook-account te beschermen met multifactorauthenticatie. Naast een gebruikersnaam en wachtwoord heb je tevens een toegangscode nodig om in te loggen. Hiervoor heb je een authenticatie-app als Google Authenticator of Microsoft Authenticator nodig. Tot slot raadt Meta gebruikers aan om log-in alerts in te schakelen. Als iemand anders dan jij probeert in te loggen op je account, krijg je daar direct een melding van.
“We raden mensen aan voorzichtig te zijn bij het downloaden van een nieuwe app die om inloggegevens voor sociale media vraagt”, zo zei David Agranovich, directeur van de afdeling Threat Disruption bij Meta, tegen Amerikaanse journalisten.
