Facebook hacket: hvad gør jeg med virksomhedens side og Instagram?

En virksomheds Facebook-side eller Instagram-konto har ikke sit eget login. Den bliver administreret af personlige profiler, og det er næsten altid en af dem, der bliver hacket. Når en angriber har en profil med fuld kontrol over virksomhedsporteføljen (det, der tidligere hed Business Manager), følger siden, Instagram-kontoen, annoncekontoen og betalingskortet med.

Meta beskriver selv de to mest almindelige forløb i sin hjælp til hackede sider:

• Stjålet adgangskode: En angriber logger på en administrators personlige profil, føjer sig selv til siden og fjerner derefter de rigtige administratorers adgang.
• Svindel: En administrator bliver narret til selv at give en fremmed kontrol over siden, typisk i Meta Business Suite.

I praksis starter det ofte med en besked, der ligner en advarsel fra Meta om ophavsret, en overtrædelse af retningslinjerne eller en side, der snart bliver lukket. Linket fører til en falsk loginside, der også spørger efter koden til totrinsgodkendelse. Meta skriver, at virksomheden aldrig beder om din adgangskode i en mail eller en besked.

Der findes også en tredje vej, som ikke kræver, at nogen taster noget forkert: malware på en computer, der bruges til at administrere annoncerne. Den stjæler browserens sessionscookies og gemte adgangskoder, og så er angriberen logget ind som jer. Det gennemgår vi i næste afsnit.

Det betyder, at I skal arbejde på tre niveauer: først den personlige profil og den enhed, der er overtaget, derefter virksomhedens aktiver, og til sidst de tekniske adgange som systembrugere, apps og tokens. Rækkefølgen er vigtig, for så længe angriberen stadig har en profil, en session eller et token med adgang, kan I ikke rydde op i porteføljen.

Mange bliver overraskede over, at kontoen blev overtaget, selvom totrinsgodkendelse var slået til. Forklaringen ligger i, hvad der sker efter et login. Når I har tastet adgangskode og kode, udsteder Facebook en sessionscookie til browseren. Den cookie er beviset på, at login og totrinsgodkendelse er gennemført, og den sendes med i hver forespørgsel, så I ikke skal logge ind igen. Den, der har cookien, behøver hverken adgangskoden eller koden.

Der er to almindelige måder at få fat i den på:

Microsoft beskriver mellemmandsangrebet grundigt, fordi det samme sker med firmamails: proxyen fanger både adgangskoden og sessionscookien, og Microsoft understreger, at det ikke er en fejl i selve totrinsgodkendelsen. Cookien autentificerer angriberen, uanset hvordan brugeren loggede ind.

Meta har selv beskrevet malwaren. Meta fandt NodeStealer i januar 2023 og skriver, at den stjæler cookies og gemte brugernavne og adgangskoder fra Chrome, Opera, Microsoft Edge og Brave og bruger dem til at slå annonceoplysninger op og køre uautoriserede annoncer. En anden familie, Ducktail, kaprede sessioner for at køre annoncer, og den nyeste version gav automatisk angriberne administratorrettigheder i virksomheden, når de sendte forespørgsler om annoncehandlinger.

Det har to praktiske konsekvenser:

1. Skift ikke kun adgangskoden. Log alle ukendte enheder ud under Kontocenter → Adgangskode og sikkerhed → Hvor du er logget på, og gør det fra en enhed, I ved er ren.
2. Scan den computer, der blev brugt. Har en medarbejder hentet et "annonceværktøj", et browserudvidelsesprogram eller en fil, der lignede en faktura, kort før det skete, så behandl maskinen som kompromitteret. Ellers stjæles den nye session med det samme.

Meta lister selv en række tegn på, at en profil er hacket. Vi har lagt de tegn til, vi ser på virksomhedssiden:

Får I en mail om en sikkerhedsændring, så tjek, om den er ægte, før I klikker. Meta sender kun mail fra domæner som facebookmail.com, facebook.com, fb.com, instagram.com, meta.com og metamail.com. Under facebook.com/recent_emails/security kan I se de sikkerhedsmails, Meta faktisk har sendt det seneste år. Står mailen ikke der, er den falsk.

Den visningsadresse, I ser i mailprogrammet, kan skrives frit af afsenderen. Vil I være sikre, så åbn mailens header (i Gmail: Mere → Vis original, i Outlook: Filer → Egenskaber → Internetheadere) og se på, hvilket domæne der faktisk har underskrevet mailen. En falsk "Meta Support"-mail ser typisk sådan ud:

From: Meta Support <support@meta-sikkerhed.eksempel.dk>
Reply-To: <case-4471@eksempel.net>
Authentication-Results: spf=pass smtp.mailfrom=meta-sikkerhed.eksempel.dk;
 dkim=pass header.d=meta-sikkerhed.eksempel.dk;
 dmarc=pass header.from=meta-sikkerhed.eksempel.dk

Bemærk, at alle tre tjek står som pass. Det betyder kun, at mailen er ægte fra det domæne, der står i header.d og header.from, og det domæne er ikke Metas. Det er domænet efter @ og i header.d, I skal kigge på, ikke navnet foran adressen. Står der ikke et af Metas egne domæner, er mailen ikke fra Meta, uanset hvor officiel den ser ud.

Det første mål er ikke at få adgangen tilbage. Det er at stoppe det, der koster penge og tillid, mens I arbejder på adgangen. Gør det i denne rækkefølge, hvis I stadig har en administrator, der ikke er ramt:

1. Sæt alle aktive kampagner på pause i Annonceadministrator. Fremmede annoncer kører på jeres kort, og forbruget kan stige hurtigt.
2. Fjern ukendte personer og partnere under Indstillinger → Personer i Meta Business Suite. Det kræver fuld kontrol over porteføljen. Meta skriver, at man kan fjerne en persons adgang til et enkelt aktiv via Administrer → Fjern adgang.
3. Fjern eller spær betalingsmetoden. Betalingsmetoderne ligger under Fakturering og betalinger. Ring samtidig til banken og bed dem spærre kortet, hvis I ser debiteringer, I ikke kender.
4. Skift adgangskode og log ud af ukendte enheder på de profiler, der stadig er jeres. Det gøres under Kontocenter → Adgangskode og sikkerhed, og under "Hvor du er logget på". Brug en enhed, I stoler på, jf. afsnittet om stjålne sessioner.
5. Advar jeres følgere og kunder fra en kanal, I kontrollerer, fx nyhedsbrev eller hjemmeside, hvis angriberen sender beskeder eller opslag i jeres navn.

Har ingen i virksomheden længere adgang, kan I ikke gøre punkt 1 til 3 selv. Så er det kortet, I kan stoppe via banken, og resten skal gå gennem Metas gendannelse, som vi gennemgår herunder.

Gem dokumentation hele vejen: skærmbilleder af ukendte administratorer, mails om ændringer med fuld header, transaktions-id'er og id'et på virksomhedsporteføljen. I skal bruge det over for Meta, banken og eventuelt politiet, og en tekniker skal bruge det til opslagene senere i artiklen.

Er den personlige profil overtaget, er den officielle vej facebook.com/hacked. Meta skriver to ting, der gør en stor forskel:

• Brug en enhed, I før har logget på med. Det kan være jeres egen telefon, en gammel computer eller en kollegas bærbare, hvor profilen tidligere har været logget ind. Meta genkender enheden, og gendannelsen går lettere.
• Klik på linket i mailen til den gamle adresse. Når e-mailadressen på en Facebook-konto ændres, sender Meta en besked til den tidligere adresse med et særligt link, så ændringen kan tilbageføres. Det er tit den hurtigste vej, hvis I reagerer, før angriberen også har skiftet adgangskode og totrinsgodkendelse.

Har I ikke længere adgang til hverken mailen eller mobilnummeret på profilen, beskriver Meta denne fremgangsmåde:

1. Gå til facebook.com/login/identify på en enhed, I før har brugt.
2. Indtast en e-mailadresse eller et mobilnummer, der har været knyttet til profilen. Virker det ikke, kan I prøve med profilens navn eller brugernavn.
3. Vælg "Har du ikke længere adgang til disse?" (eller "Glemt konto?" eller "Genopret").
4. Angiv nye kontaktoplysninger, som ikke har været brugt på profilen før.
5. Følg Metas trin for at bekræfte, at profilen er jeres, og vælg en ny adgangskode.

Prøv også at kontakte jeres mailudbyder, hvis det er mailkontoen, der er hacket. Er det jeres firmamail, der er overtaget, skal den sikres først, ellers kan angriberen bare nulstille adgangskoden igen. Tjek især, om der ligger en indbakkeregel, der sletter eller flytter mails fra Meta-domænerne, for så ser I aldrig advarslen om den ændrede e-mailadresse. Læs hvad I gør, hvis firmamailen er hacket.

Når profilen er jeres igen, så gennemgå Kontocenter → Adgangskode og sikkerhed. Fjern ukendte enheder, e-mailadresser, telefonnumre og godkendelsesapps, og slå Avanceret beskyttelse til. Meta kræver den for profiler, der er tilknyttet virksomhedsporteføljer, der annoncerer, og den beder jer oprette en adgangsnøgle eller slå totrinsgodkendelse til. Gennemgå også de apps og virksomhedsintegrationer, profilen har givet adgang, under Indstillinger og privatliv → Indstillinger, og fjern dem, I ikke kender. En app, der har fået lov til at administrere jeres sider eller annoncer, beholder adgangen, selvom adgangskoden skiftes.

Har I mistet adgangen til en Facebook-side, I administrerer, har Meta en særskilt formular til gendannelse af sider: facebook.com/help/contact/957215276032920. Meta kalder den den hurtigste måde at få siden tilbage på og anbefaler den også til virksomheder, der har Meta Verified eller anden support.

Formularen har et par krav, som mange falder over:

• I skal være logget på. Kan I ikke se formularen, er det ofte fordi I ikke er logget ind.
• Profilen skal for nylig have mistet adgangen til siden. Kan I ikke vælge siden i formularen, er det fordi Meta ikke kan se, at netop den profil har mistet adgangen for nylig. Prøv med den administrator, der blev fjernet.
• Kan I slet ikke logge på, skal profilen først tilbage via facebook.com/hacked.
• Hjælper I en anden, skal den person selv logge på og indsende formularen.

Meta skriver, at de bestræber sig på at svare inden for et døgn, men at nogle gennemgange tager længere tid, og at de kun kan handle, hvis de kan bekræfte, at siden er hacket.

Når I har siden igen, anbefaler Meta at gennemgå både siden og virksomhedsporteføljen og fortryde ændringer, I ikke genkender. Det gælder også personer med adgang til siden direkte på Facebook, ikke kun i Business Suite. En side kan have adgang både via porteføljen og via Facebooks egne indstillinger for sideadgang, og angriberen kan have lagt sig begge steder. Den tredje vej er en anden virksomhed med adgang til siden, fx et falsk "bureau", som vi viser, hvordan man slår op, i det tekniske afsnit.

Instagram har sin egen vej: instagram.com/hacked, som Meta anbefaler, hvis nogen har fået adgang til kontoen, eller I ikke kan logge på. Instagrams hjælp beskriver disse trin, og de er værd at prøve i rækkefølge:

1. Kig efter en mail fra security@mail.instagram.com. Har angriberen ændret e-mailadressen, sender Instagram en mail til den gamle adresse. Vælg "beskyt min konto" i mailen for at fortryde ændringen.
2. Anmod om et loginlink. Tryk "Glemt adgangskode?" på loginskærmen, indtast brugernavn, e-mail eller telefonnummer, og vælg "Send loginlink".
3. Anmod om en sikkerhedskode eller support fra en mobil, hvis loginlinket ikke virker. Angiv en sikker e-mailadresse, som kun I har adgang til.
4. Bekræft identiteten. Er der billeder af jer på kontoen, kan Instagram bede om en videoselfie, hvor I drejer hovedet. Meta skriver, at videoen aldrig vises på Instagram og slettes inden for 30 dage. Er der ingen billeder af jer, beder Instagram typisk om den e-mail eller det nummer, kontoen blev oprettet med, og hvilken type enhed I brugte.

Mange virksomhedskonti på Instagram har ingen billeder af ejeren, og så er videoselfien ikke en mulighed. Derfor er det vigtigt at kende den oprindelige mail og enhedstype. Skriv dem ned, før det går galt.

Kan I stadig logge på, men en angriber laver stadig ændringer på en professionel konto, beskriver Instagram en særlig vej: Gå til business.facebook.com på en computer, log på med Instagram, og se under Virksomhedsindstillinger → Personer, om der er ukendte administratorer. Ifølge Instagram kan uautoriserede administratorer fjernes ved at skifte kontoen til en personlig konto og derefter tilbage til en professionel konto. I mister midlertidigt adgang til Business Suite, Annonceadministrator og indsigt, men indsigtsdata gemmes i 90 dage.

Når kontoen er jeres igen: skift adgangskode, slå totrinsgodkendelse til, tjek e-mail og telefonnummer, fjern ukendte konti i Kontocenter, og tilbagekald adgang for apps, I ikke kender, på instagram.com/accounts/manage_access. Bruger webshoppen en Instagram-integration til shopping eller feed på forsiden, så forbind den igen bagefter med en konto, I har kontrol over, i stedet for at lade den gamle forbindelse stå.

Når profilerne er sikret, skal selve virksomheden ryddes op. Meta har en liste over anbefalinger til at beskytte en virksomhedsportefølje, og de passer præcis på oprydningen efter et angreb:

Download også virksomhedshistorikken under Indstillinger i Meta Business Suite (fanen Personer eller Virksomhedsoplysninger). Den viser ændringer i porteføljen, aktiverne og personerne, og den er jeres bedste kilde til at se, hvad angriberen har gjort. Læg tidspunkterne ved siden af "Hvor du er logget på" og mailene om sikkerhedsændringer, så I kan se, hvilken profil der blev brugt, og hvornår det startede.

Betalingerne. Gå til Fakturering og betalinger → Betalingsaktivitet og klik på transaktions-id'et for hver debitering, I ikke kender. Kvitteringen viser beløb, tidspunkt, kort og de annoncer, der er brugt penge på. Meta skriver, at de kan have grebet ind, hvis de har opdaget mistænkelig aktivitet, fx ved at fjerne administratorer, sætte annoncer på pause eller ændre betalingsmetoder. Genkender I stadig ikke aktiviteten, skal I give Meta besked via kontakten til virksomhedssupport, og ved debiteringer på kortet skal banken også have besked.

Startsiden for virksomhedssupport (facebook.com/accountquality) viser status for porteføljen, annoncekonti, sider og kataloger, og om noget er blevet begrænset. Herfra kan I også kontakte support og tjekke, om en mail eller et opkald, der påstår at være fra Meta, er ægte.

Personer er kun den ene halvdel af adgangen. En virksomhedsportefølje kan også give adgang til systembrugere, partnervirksomheder og apps, og de har ingen adgangskode, der kan skiftes. Det er her, en angriber lægger en bagdør, der overlever oprydningen af personerne.

Pas på med at slette alt, I ikke genkender. Når en webshop opsætter Conversions API via Events Manager, opretter Meta automatisk en Conversions API-app og en Conversions API-systembruger. Den er legitim, men tokenet til den ligger i webshoppens plugin eller server, og har angriberen haft fuld kontrol, bør I lave et nyt. Det gøres i Events Manager under pixelens Settings → Conversions API → Generate access token, og derefter skal det nye token sættes ind i webshoppen.

En tekniker kan trække listerne direkte fra Graph API med et token, der har adgang til porteføljen. Erstat {business-id} og {page-id} med jeres egne id'er, og brug den aktuelle API-version:

# Personer i porteføljen og deres rolle
curl -s "https://graph.facebook.com/v25.0/{business-id}/business_users?access_token=$TOKEN"
# Systembrugere (rolle: Admin eller Employee)
curl -s "https://graph.facebook.com/v25.0/{business-id}/system_users?access_token=$TOKEN"
# Virksomheder og bureauer med adgang til en Facebook-side (kræver et sidetoken)
curl -s "https://graph.facebook.com/v25.0/{page-id}/agencies?access_token=$PAGE_TOKEN"

Finder I et token i en integration, en gammel automatisering eller et regneark, kan I se, hvad det giver adgang til, med debug_token. Det skal kaldes med et app-token eller et udviklertoken til den app, tokenet tilhører:

curl -s "https://graph.facebook.com/v25.0/debug_token?input_token=$MISTAENKT_TOKEN&access_token=$APP_TOKEN"

Svaret er JSON, og felterne fortæller, hvad tokenet kan:

Et token til en systembruger kan tilbagekaldes med det samme. Meta skriver, at ugyldiggørelsen sker øjeblikkeligt, og at tokenet ikke kan bruges igen bagefter. Kaldet kræver appens id og hemmelighed, og app, token og hemmelighed skal høre sammen:

curl -i -X GET "https://graph.facebook.com/v25.0/oauth/revoke?client_id={app-id}&client_secret={app-secret}&revoke_token={token-der-skal-tilbagekaldes}&access_token={jeres-token}"

Meta anbefaler tokens, der udløber efter 60 dage, frem for tokens, der aldrig udløber, fordi det begrænser skaden, hvis et token lækker. Brug det, når I laver nye tokens efter oprydningen, og gem dem i webshoppens konfiguration eller en hemmelighedsboks, aldrig i en mail eller et delt dokument.

De samme fejl går igen i de sager, hvor det tager længst tid at komme på fode:

• Kun én administrator. Når den eneste profil med fuld kontrol bliver hacket, er der ingen i virksomheden, der kan fjerne angriberen. Meta anbefaler mindst to.
• Administratoren er en tidligere medarbejder eller et gammelt bureau. Inaktive profiler er det, angriberne går efter, fordi ingen opdager, at de bliver overtaget.
• Totrinsgodkendelse via sms på et nummer, ingen bruger. Det låser jer selv ude, når I skal gendanne. Brug en godkendelsesapp eller adgangsnøgle, og gem gendannelseskoderne et sikkert sted.
• Adgangskoden skiftes på en inficeret pc. Malware, der stjæler cookies, tager også den nye session. Rens eller udskift maskinen først.
• Systembrugere og partnere bliver glemt. De har ingen adgangskode og overlever, at alle personer er ryddet op.
• I betaler for "gendannelse". Kun Meta kan give adgangen tilbage. Tilbud fra personer, der skriver til jer i kommentarer eller beskeder, er næsten altid endnu en svindel.
• I logger ind via linket i en mail. Gå altid selv til facebook.com eller instagram.com og tjek beskeden derfra.
• Siden ryddes op, men profilen gør ikke. Hvis angriberen stadig har en session på en af jeres profiler, kommer de tilbage.

Brug listen, når I står midt i det, og igen når det er overstået.

Akut

• Annoncer sat på pause, og banken kontaktet om kortet
• Ukendte personer og partnere fjernet i Meta Business Suite
• Profilen gendannet via facebook.com/hacked eller instagram.com/hacked fra en kendt og ren enhed
• Siden anmeldt via Metas formular til hackede sider, hvis I har mistet den
• Dokumentation gemt: skærmbilleder, mails med header, transaktions-id'er og portefølje-id

Bagefter

• Ny adgangskode, totrinsgodkendelse eller adgangsnøgle og Avanceret beskyttelse på alle profiler med adgang
• Ukendte enheder logget ud under "Hvor du er logget på"
• Computeren, der blev brugt, scannet eller geninstalleret
• Mindst to administratorer fra jeres egen virksomhed, højst så mange med fuld kontrol, som der er brug for
• Gamle medarbejdere, bureauer og inaktive annoncekonti fjernet
• Systembrugere, partnere og apps gennemgået, og tokens til integrationer lavet på ny
• Conversions API-token og andre tokens i webshoppen udskiftet
• Virksomhedshistorikken downloadet og gennemgået
• Betalingsaktivitet gennemgået, og ukendte debiteringer meldt til Meta og banken
• Firmamailen bag profilerne tjekket for videresendinger, regler og ukendte logins
• Følgere og kunder informeret, hvis der er sendt svindel i jeres navn

Hvor lang tid tager det at få en hacket Facebook-side tilbage? Det afhænger af, om I stadig har en administrator. Har I det, kan I selv fjerne angriberen med det samme. Har I ikke, skriver Meta, at de bestræber sig på at svare på formularen til hackede sider inden for et døgn, men at nogle sager tager længere.

Vi havde totrinsgodkendelse. Hvordan kunne de komme ind? Typisk ved at stjæle sessionscookien, enten gennem en falsk loginside, der videresender til den rigtige, eller med malware på en pc. Cookien er udstedt efter et gyldigt login, så den kræver ikke koden igen.

Hjælper det at have Meta Verified? Meta anbefaler stadig formularen til hackede sider, også hvis I har Meta Verified eller anden support, fordi det er den hurtigste vej.

Facebook og Instagram er hacket på samme tid. Hvor starter jeg? Med den profil eller konto, der har adgang til virksomhedsporteføljen. Når den er sikret, kan I fjerne angriberen fra både siden og Instagram-kontoen i Business Suite.

Skal vi slette alle systembrugere? Nej. Nogle er oprettet af Meta selv, fx til Conversions API, og andre af jeres integrationer. Fjern dem, I ikke kan forklare, og lav nye tokens til resten.

Skal vi anmelde det til politiet? Politiet opfordrer til at anmelde hacking, og virksomheder kan ringe 114 på hverdage kl. 7 til 20 og blive stillet videre til medarbejdere med viden om cyberangreb.

Kan en hacket Facebook-konto være et brud på persondatasikkerheden? Ja, hvis angriberen har set beskeder eller kundeoplysninger. Så skal det vurderes, om det skal anmeldes til Datatilsynet. Læs mere om databrud og GDPR.

For en webshop er Facebook og Instagram sjældent bare en side. Det er annoncekontoen, der driver salget, katalogerne med produkterne, pixel og konverteringsdata, og den kanal kunderne skriver til. Et overtaget Meta-setup betyder tabt omsætning hver dag, fremmede annoncer på jeres kort, og i værste fald at kunder modtager svindelbeskeder fra en afsender, de stoler på.

Det tekniske lag følger med. Webshoppen har typisk et token til Conversions API, en katalogintegration og måske en Instagram-forbindelse, og de skal alle gennemgås, når angriberen har haft fuld kontrol over porteføljen. Ellers ligger der en adgang tilbage, som ingen tænker på, fordi den ikke er en person.

Det, der gør den største forskel, er det, I gør før: to administratorer fra virksomheden, adgangsnøgler eller totrinsgodkendelse for alle, en ryddet portefølje uden gamle bureauer, medarbejdere og systembrugere, en fast pc til annonceadministration og en firmamail, der er lige så godt beskyttet som profilerne. Læs mere om adgangsstyring og MFA.

Er det sket, så hjælper vi med at stoppe forbruget og rydde op, også i systembrugere og tokens. Vi går i gang inden for 24 timer og bruger kun Metas officielle veje, men vi kan ikke love, hvornår Meta svarer, hvis alle administratorer er låst ude. Læs mere om hjælp til en hacket Facebook- og Meta Business-konto.

Kilder

• Facebook: Gendan en hacket konto
• Facebook: Gendan din konto, hvis du er blevet hacket
• Facebook: Gendan en hacket Facebook-side
• Facebook: Gendan konto uden adgang til e-mail eller mobil
• Facebook: Tjek om en e-mail er fra Facebook
• Facebook: Avanceret beskyttelse
• Instagram: Hacket Instagram-konto
• Instagram: Hvis din profil er hacket
• Instagram: Professionel konto med hacker
• Meta: Beskyt en virksomhedsportefølje
• Meta: Skift en persons adgang
• Meta: Ukendt aktivitet på annoncekontoen
• Meta: Startsiden for virksomhedssupport
• Meta Engineering: NodeStealer og Ducktail
• Meta for Developers: Debug Token
• Meta for Developers: Business System Users
• Meta for Developers: Business Users
• Meta for Developers: Page Agencies
• Meta for Developers: Systembrugeres tokens
• Meta for Developers: Conversions API
• Microsoft: AiTM-phishing og sessionscookies
• Microsoft: Authentication-Results-headeren
• Politiet: Forebyg hacking