Inbreuk op het auteursrecht op Instagram-oplichting

4 januari 2022 | Blog, kleverig

Cybercriminelen zijn altijd op zoek naar nieuwe manieren om je apparaten te infiltreren. Onlangs gebruikten ze de aanvalsmethode van auteursrechtschending als lokaas in phishingmails. Door zich voor te doen als Instagram-gebruikers proberen ze gebruikers bang te maken door ze te laten geloven dat er een auteursrechtklacht tegen hen is ingediend en bieden ze gebruikers een eenvoudige manier om in beroep te gaan tegen de klacht.

De phishing-zwendel

De hackers hanteren bij deze aanval een heel andere aanpak. Ze overtuigen je ervan dat de klacht van een andere gebruiker mogelijk onjuist is en bieden je een gemakkelijke uitweg door in beroep te gaan tegen de auteursrechtklacht. NakedSecurity publiceerde screenshots van de aanval, die hieronder te zien zijn:

De knop 'Bezwaar maken' gebruikt in dit geval een verkorte link (bit.ly), maar of u nu van tevoren de bestemming van de link controleert of er toch op klikt, de resulterende website ziet er niet zo 'phishy' uit als u zou verwachten. Om een bit.ly-link te controleren voordat u deze bezoekt, plakt u de link in de adresbalk van uw browser en voegt u een plusteken (+) toe aan het einde, waarmee bit.ly de opdracht krijgt om de oorspronkelijke link weer te geven zonder u ernaartoe te leiden.

Bij deze oplichting registreren de hackers een domeinnaam: 'fb-notify.com'. De link die je krijgt, brengt je naar een gepersonaliseerde oplichtingspagina die expliciet verwijst naar jouw Instagram-account:

Als je op 'Ga naar bezwaarformulier' klikt, kom je terecht op een overtuigende (maar nep) Instagram-inlogpagina waar je wordt gevraagd je inloggegevens in te voeren om je bezwaar te bevestigen. Nadat je deze hebt ingevoerd en verzonden, word je stiekem doorgestuurd naar de echte pagina met auteursrechtinformatie van Facebook/Instagram om je er verder van te overtuigen dat de klacht terecht is.

De hackers in deze aanval doen er alles aan om ervoor te zorgen dat je je op je gemak voelt om in beroep te gaan tegen de auteursrechtklacht, met een overtuigende link en een echte afbeelding van je Instagram-account. Het is cruciaal dat je je due diligence uitvoert bij het ontvangen van dit soort berichten om er zeker van te zijn dat het legitiem is.

Wat moet je doen?

Klik niet op "nuttige" links in e-mails. Leer van tevoren hoe u omgaat met auteursrechtklachten op Instagram, zodat u de procedure kent voordat u deze moet volgen. Doe hetzelfde voor de andere sociale netwerken en sites voor het bezorgen van inhoud die u gebruikt. Wacht niet tot na het binnenkomen van een klacht om de juiste manier te vinden om te reageren. Als u al weet welke URL u moet gebruiken, hoeft u nooit meer op een link in een e-mail te vertrouwen, of die e-mail nu echt of nep is.
Denk na voordat je klikt. Hoewel de naam van de website in deze zwendel enigszins geloofwaardig is, is dat duidelijk niet het geval instagram.com or facebook.com, wat je ook zou verwachten. We hopen dat je in eerste instantie niet doorklikt (zie punt 1), maar als je per ongeluk toch de site bezoekt, haast je dan niet om verder te gaan. Een paar seconden om even te stoppen en de sitedetails te controleren, is goed bestede tijd.
Gebruik een wachtwoordmanager en 2FA wanneer je maar kunt. Wachtwoordmanagers voorkomen dat je het juiste wachtwoord voor de verkeerde website invoert, omdat ze geen wachtwoord kunnen voorstellen voor een website die ze nog nooit eerder hebben gezien (fb-notify.com). Twee-factorauthenticatie (2FA) maakt het hackers lastiger, omdat je wachtwoord alleen niet langer voldoende is om toegang te krijgen tot je account.

Aanvullende aanbevelingen voor cyberbeveiliging

Daarnaast helpen onderstaande aanbevelingen u en uw bedrijf om veilig te blijven tegen de verschillende bedreigingen waarmee u dagelijks te maken kunt krijgen. Al deze suggesties kunt u verkrijgen door gebruik te maken van de vCISO-programmaontwikkelingsdiensten van CyberHoot.

Beheer medewerkers met beleid en procedures. U hebt minimaal een wachtwoordbeleid, een beleid voor acceptabel gebruik, een beleid voor informatieverwerking en een schriftelijk informatiebeveiligingsprogramma (WISP) nodig.
Train medewerkers in het herkennen en vermijden van gevaarlijke situaties phishing-aanvallenImplementeer een Learning Management-systeem zoals CyberHoot om medewerkers de vaardigheden te leren die ze nodig hebben om zelfverzekerder, productiever en veiliger te zijn.
Test medewerkers met phishingaanvallen om te oefenen. Met de phishingtests van CyberHoot kunnen bedrijven medewerkers testen met geloofwaardige phishingaanvallen en degenen die falen een training in phishing geven.
Implementeer kritieke cyberbeveiligingstechnologie, waaronder two-factor authenticatie op alle kritieke accounts. Schakel spamfiltering in voor e-mail, valideer back-ups, implementeer DNS-beveiliging, antivirusen anti-malware op al uw eindpunten.
In het moderne tijdperk van thuiswerken moet u ervoor zorgen dat u de persoonlijke apparaten die verbinding maken met uw netwerk goed beheert. Controleer de beveiliging ervan (patchen, antivirus, DNS-beveiliging, etc.) of verbied het gebruik ervan volledig.
Als u de afgelopen twee jaar geen risicobeoordeling door een derde partij heeft laten uitvoeren, is het nu tijd om er een te laten uitvoeren. Het opzetten van een risicomanagementkader binnen uw organisatie is cruciaal om uw meest ernstige risico's aan te pakken met de beperkte tijd en middelen die u ter beschikking hebt.
Sluit een cyberverzekering af om u te beschermen in een catastrofale situatie. Cyberverzekeringen zijn niet anders dan auto-, brand-, overstromings- of levensverzekeringen. Ze zijn er wanneer u ze het hardst nodig hebt.

Al deze aanbevelingen zijn ingebouwd in het CyberHoot-product of de vCISO-services van CyberHoot. Met CyberHoot kunt u uw medewerkers beheren, trainen, beoordelen en testen. Ga naar CyberHoot.com en meld u vandaag nog aan voor onze services. Blijf in ieder geval op de hoogte door u aan te melden voor onze maandelijkse cybersecurity-nieuwsbrieven.