Un grupo liderado por George Petre en BitDefender, una compañía de software antivirus con sede en Bucarest, Rumania, realizó un experimento para probar la eficacia de las técnicas de spamming dirigido a un sitio de redes sociales. Descubrieron que era sorprendentemente fácil engañar a usuarios de Facebook para que se hicieran "amigos" de personas que no conocían; también descubrieron que muchos usuarios estaban dispuestos a hacer clic en los enlaces sin saber quién los envió o a dónde llevaban.
Durante su intervención la semana pasada en la Conferencia sobre Spam en MIT, en Cambridge, Massachusetts, Petre describió cómo los spammers se aprovechan de las redes sociales y los sistemas de mensajería incitando al usuario a hacer clic en los enlaces, y recopilando información personal para después enviar correos masivos.
La mayoría de las redes sociales poseen sistemas de mensajería inte a para la comunicación entre sus miembros. El grupo de Petre examinó el sistema de Facebook, que cuenta con el 5 por ciento de la población mundial entre sus usuarios. Aunque Facebook posee un motor antispam, el grupo descubrió que funcionaba mejor a la hora de filtrar los correos electrónicos de phishing que para evitar que llegasen los mensajes de spam.
El grupo comenzó creando perfiles falsos para engañar a los usuarios y que se hicieran amigos de ellos. Crearon tres perfiles, uno con casi ninguna información sobre el usuario, con cierta información, y otro con información detallada. Utilizaron los perfiles para unirse a grupos populares y comenzaron a enviar solicitudes de amistad.
En 24 horas, 85 usuarios habían aceptado una solicitud del primer perfil, 108 del segundo, y 111 del tercero. Petre afirma que el ritmo de aceptaciones comenzó a acelerarse, puesto que más del 50 por ciento de las veces los usuarios aceptan la solicitud si comparten un "amigo mutuo" con el perfil falso. En algunos casos, afirma, los usuarios enviaban un mensaje pidiendo más información acerca de cómo conocían a este supuesto nuevo amigo. Los investigadores no respondían a estas peticiones, aunque en muchos casos, señala Petre, los usuarios aceptaban la solicitud de todos modos.
Después los investigadores publicaban un enlace, sin dar ninguna explicación, en los muros de los perfiles falsos, utilizando un acortador de URLs para oscurecer el lugar al que se dirigía el vínculo. Casi el 25 por ciento de los perfiles de "amigos" visitaron el enlace, afirma Petre.
Para poder enviar mensajes a un gran número de personas, afirma Petre, los spammers suelen engañar a los usuarios haciendo que se unan a grupos y se hagan amigos de perfiles falsos. Por ejemplo, tras el terremoto de Haití, los criminales iniciaron un grupo en Facebook que afirmaba que dicha empresa de redes sociales donaría dinero a las labores de ayuda por cada usuario que se uniese. El grupo recolectó cerca de dos millones de miembros en los cinco días antes de que Facebook descubriese la actividad y suspendiese el grupo. Durante su periodo activo, afirma Petre, el grupo fue utilizado para enviar mensajes de spam a sus miembros.
Los spammers también pueden enviar mensajes en masa a los usuarios que hayan aceptado las solicitudes de amistad de ellos. Petre descubrió que los estafadores utilizan juegos sociales para hacer contactos con usuarios legítimos. En muchos de estos juegos, como Farmville, los usuarios obtienen ventajas al tener amigos en la red que jueguen al mismo juego. Como resultado, hay un montón de grupos en Facebook dedicados a ayudar a los usuarios a conectarse con otros jugadores. Esto proporciona una forma para que los spammers encuentren usuarios con los que conectarse.
Una vez conectados, los spammers también pueden hacer algo más que simplemente enviar mensajes de spam. Pueden recopilar datos sobre los usuarios, y los contactos de dichos usuarios, para así crear mensajes fraudulentos más específicos. Los estafadores también pueden publicar enlaces en perfiles que tengan como objetivo animar a los usuarios a que vean publicidad, o que visiten sitios web de phishing o malware. Aunque los spammers podrían, en teoría, usar scripts para recolectar direcciones de correo de los perfiles de otros usuarios, Facebook ha puesto en marcha varias protecciones para que sea difícil hacerlo sin ser atrapado y suspendido.
"El spam en las redes sociales puede ser más peligroso que el spam antiguo normal, ya que crea un factor de confianza que no está disponible cuando se envían correos electrónicos masivos a ciegas", afirma Garth Bruen, creador de un programa llamado Knujon, que clasifica y hace un seguimiento del spam. Al llevar a cabo procesos de minería dentro de las redes sociales, afirma, los criminales pueden tener acceso a datos personales como dónde vive la persona, dónde va a beber una copa, o qué películas le gustan. "Son muy buenos datos para lograr establecer confianza con extraños", afirma. Aunque Bruen señala que el hecho de trabajar con redes sociales cuesta a los spammers más recursos que los métodos tradicionales, cree que las ganancias podrían ser mucho más grandes.
Kathy Liszka, profesora de ciencias informáticas en la Universidad de Akron y presidenta de la Conferencia sobre Spam de MIT, afirma que la lucha contra el spam ya no se centra sólo en las matemáticas y la estadística. Las empresas de spam y malware hoy día están reclutando activamente a personas con conocimientos de psicología, afirma, y el trabajo de Petre demuestra que las redes sociales proporcionan un terreno fértil para que los spammers pongan a prueba formas más sofisticadas de manipulación. Liszka afirma que "si no nos subimos al carro de la psicología, vamos a empezar a perder terreno de nuevo."