В прошлом месяце мы узнали, что Apple обманом заставили раскрыть личные данные хакерам после того, как они представились сотрудниками правоохранительных органов с запросами экстренных данных. Последующий отчет показывает, что некоторые из этих данных использовались для сексуального вымогательства несовершеннолетних.
Последний отчет также проливает свет на то, как хакерам удалось обмануть Apple и других технологических гигантов, включая Facebook, Google, Snap, Twitter и Discord…
Фон
Обычно компания передает данные о клиенте сотрудникам правоохранительных органов только после получения постановления суда, и даже в этом случае тщательно изучает запрос, иногда предлагая предоставить только часть запрошенных данных.
Поскольку этот процесс требует времени, существует процедура экстренного запроса данных, которую можно использовать, когда существует непосредственный риск причинения вреда одному или нескольким лицам. В этих случаях компании проверяют, исходит ли запрос от законного представителя правоохранительных органов, но сначала предоставляют информацию, а потом задают вопросы.
Хакеры использовали поддельные запросы экстренных данных, чтобы убедить Apple и другие компании раскрыть пользовательские данные. Новый отчет объясняет, как данные использовались не по назначению, и предоставляет некоторую информацию о том, как компании были обмануты.
Как обманули Apple
Bloomberg сообщает, что атака обычно основывается на возможности использования взлома или фишинга для получения доступа к системам электронной почты правоохранительных органов, чтобы источник запросов выглядел подлинным.
Точный метод атак различается, но, по словам сотрудников правоохранительных органов, они, как правило, следуют общей схеме. Все начинается с того, что злоумышленник компрометирует систему электронной почты иностранного правоохранительного органа.
По словам офицеров, злоумышленник подделывает «экстренный запрос данных» в технологическую компанию, запрашивая информацию об учетной записи пользователя. Такие запросы используются правоохранительными органами для получения информации об онлайн-счетах в случаях, связанных с непосредственной опасностью, такой как самоубийство, убийство или похищение. […]
Предоставляемые данные различаются в зависимости от компании, но обычно включают имя, IP-адрес, адрес электронной почты и физический адрес. Некоторые компании предоставляют больше данных.
Каскадные атаки, используемые для вымогательства у жертв
Хотя кажется, что данных немного, они предоставляют достаточно информации, чтобы позволить дальнейшие взломы и фишинговые атаки против отдельных жертв. Сообщается, что среди преступников и жертв есть дети.
По словам людей, злоумышленники использовали эту информацию, чтобы взломать онлайн-аккаунты жертв или подружиться с женщинами и несовершеннолетними, прежде чем побудить их предоставить фотографии откровенно сексуального характера. По словам четырех человек, многие из преступников сами являются подростками из США и других стран.
Bloomberg сообщает, что некоторые из случаев были ужасающе экстремальными.
По словам людей, преступники угрожали отправить материалы откровенно сексуального характера, предоставленные жертвой, их друзьям, членам семьи и школьной администрации, если они не выполнят требования. В некоторых случаях жертв заставляли вырезать имя преступника на своей коже и делиться его фотографиями.
Взгляд
Использование фальшивых запросов данных для экстренных случаев с законных адресов электронной почты правоохранительных органов является серьезной проблемой, потому что это может нанести вред, как бы компании ни реагировали. Если они публикуют данные с минимальной проверкой, они рискуют передать личную информацию хакерам. Если они задержат достаточно долго для более сложных проверок, может быть слишком поздно, чтобы помочь жертвам в реальных случаях.
Очевидный риск заключается в том, что эта тактика становится все более распространенной. Значительные ресурсы должны быть направлены на предотвращение и раскрытие этого преступления, а наказание должно отражать тяжесть потенциальных последствий.
Фото: Александр Кривицкий/Unsplash
