‘Richiesta Partner’ su Facebook: la nuova truffa che ruba pagine e account business

Una mail apparentemente firmata da Meta, con tanto di dominio credibile e spunta di verifica, che invita a «visualizzare una richiesta partner» su Facebook Business. Ma in realtà si tratta di nuova campagna di phishing che sta colpendo aziende, professionisti, creator e gestori di pagine social, sfruttando una funzione reale della piattaforma per sottrarre accessi e controllo degli account.

Il messaggio fa riferimento al programma ‘Agency Partner Program‘ e informa il destinatario di aver ricevuto una richiesta di collaborazione da un’altra attività commerciale. Il testo appare plausibile perché il sistema di ‘Partner sharing‘ esiste davvero all’interno di Meta Business Suite e consente a soggetti terzi di ottenere accesso a risorse aziendali come pagine Facebook, account pubblicitari e strumenti di gestione. Ma in realtà si tratta di una truffa sofisticata costruita per indurre l’utente a cliccare su link malevoli o ad approvare richieste che concedono ai criminali digitali il controllo degli asset aziendali.

La mail invita l’utente a cliccare su pulsanti come ‘View request‘ (in italiano: ‘Vedi la richiesta‘, ndr) oppure ad approvare la collaborazione direttamente all’interno di Business Suite. Una volta effettuato il passaggio, i truffatori possono ottenere accesso a pagine Facebook, account pubblicitari e strumenti di gestione aziendale. Chi cade nella truffa rischia la sottrazione dell’account, blocco della pagina, richiesta di riscatti, furto di dati personali e finanziari.

L’elemento che rende questa campagna particolarmente insidiosa è l’utilizzo di meccanismi autentici di Meta. Al di là della mail mittente che sembra effettivamente essere una mail ufficiale – ma ovviamente non lo è -, i criminali sfruttano infatti la reale funzione di ‘Partner Access‘ per rendere il messaggio credibile e abbassare la soglia di attenzione delle vittime. In alcuni casi, inoltre, compare persino la classica icona di verifica del mittente. Ma la presenza di un dominio credibile o di elementi grafici ufficiali non garantisce l’autenticità del messaggio.

Nel testo della comunicazione compare anche un avviso che Meta utilizza realmente nelle proprie comunicazioni ufficiali (“Meta non chiederà mai password, dati di pagamento o informazioni personali via email”) e persino un elenco ‘Proteggiti dalle frodi’ che invita l’utente a verificare «l’identità del richiedente contattando direttamente l’azienda tramite recapiti ufficiali», a «non condividere mai nome utente, password o informazioni di pagamento» e a fare «attenzione ai messaggi che utilizzano toni urgenti o minacciosi. Ad esempio: richieste che affermano che la tua pagina è a rischio». Tutti elementi veritieri delle mail legittime che Meta invia ai suoi utenti. Proprio questa commistione tra elementi veri e fraudolenti rende il phishing più difficile da individuare.

Difendersi dal phishing, tuttavia, non è complesso. Basta solo adottare alcune accortezze. Per prima cosa, non cliccare su link o pulsanti presenti nella mail e ovviamente, non approvare richieste partner sospette. Il messaggio si può eliminare immediatamente ed è bene controllare eventuali richieste direttamente accedendo a Meta Business Suite dal sito ufficiale e non tramite link ricevuti via email. Infine, è buona norma attivare l’autenticazione a due fattori e sistemi di sicurezza aggiuntivi e creare filtri antispam direttamente nella propria casella di posta per bloccare comunicazioni simili.

Il consiglio principale resta quello di verificare sempre l’identità dei soggetti che richiedono accessi o collaborazioni. Meta stessa specifica infatti che le richieste partner devono essere approvate solo da persone o aziende conosciute e fidate.

Negli ultimi anni le campagne di phishing legate ai social network e agli account business sono aumentate in modo significativo, soprattutto nei confronti di attività commerciali, redazioni, creator e professionisti che gestiscono inserzioni pubblicitarie o pagine ad alto traffico. L’obiettivo non è soltanto il furto di credenziali, ma il controllo diretto di strumenti economici e pubblicitari che possono generare profitti immediati per i truffatori.

The post ‘Richiesta Partner’ su Facebook: la nuova truffa che ruba pagine e account business appeared first on Umbria 24.