أوامر التفتيش الطارئة المزيفة أصبحت مشكلة

قم بتأمين عملك مع CyberHoot اليوم!!!

سجّل الآن

هناك استراتيجية مثيرة للقلق وفعّالة للغاية يستخدمها المخترقون الإجراميون حاليًا لجمع بيانات العملاء الحساسة من مزودي خدمات الإنترنت وشركات الهاتف ومنصات التواصل الاجتماعي. تتضمن هذه الاستراتيجية اختراق حسابات البريد الإلكتروني والمواقع الإلكترونية المرتبطة بمراكز الشرطة والهيئات الحكومية، ثم إرسال "طلبات بيانات طارئة" غير مصرح بها للحصول على بيانات المشتركين، حيث لا يمكن انتظار صدور أمر قضائي للحصول على المعلومات المطلوبة نظرًا لتعلقها بأمور مصيرية.

طلبات البيانات الطارئة

في الولايات المتحدة، عندما ترغب جهات إنفاذ القانون الفيدرالية أو الولائية أو المحلية في الحصول على معلومات حول مالك حساب في شركة تواصل اجتماعي، أو عناوين الإنترنت التي استخدمها حساب هاتف محمول معين سابقًا، يتعين عليها تقديم أمر قضائي رسمي أو استدعاء قضائي. لدى جميع شركات التكنولوجيا الكبرى ومقدمي خدمات الإنترنت تقريبًا إدارات تُراجع وتُعالج هذه الطلبات بشكل دوري. لا تُقبل هذه الطلبات إلا بعد تقديم الوثائق اللازمة والتحقق من هوية مقدم الطلب خارج نطاق التغطية (وليس من البريد الإلكتروني الذي يطلب البيانات) على أنها تابعة لقسم الشرطة أو جهة إنفاذ القانون الفعلية.

مع ذلك، وكما هو الحال في معظم هجمات التصيد الاحتيالي التي تخلق شعورًا ملحًا بالخطر على أمل أن يحفز ذلك الضحية على اتخاذ إجراء، يطلب المخترقون بيانات من هذه المؤسسات مدعين أن التقاعس سيؤدي إلى ضرر وشيك أو حتى الموت. في كثير من الأحيان، يقدم ضباط التحقيق الشرعيون ما يُعرف بـ"طلب البيانات الطارئ" (EDR)، والذي يتجاوز أي مراجعة رسمية ولا يتطلب من مقدم الطلب تقديم أي وثائق معتمدة من المحكمة. إذا لم تتحقق شركات التكنولوجيا من هوية مقدم الطلب في مثل هذه الظروف، يفوز المخترق ويحصل على البيانات الحيوية اللازمة لتنفيذ هجماته.

استراتيجية الهاكر

اكتشف المخترقون أنه لا توجد طريقة سريعة وسهلة للشركات التي تتلقى أحد هذه التقارير الإلكترونية للتحقق من شرعيتها. فباستخدام وصول غير مصرح به إلى أنظمة البريد الإلكتروني للشرطة أو الحسابات الشخصية، يرسل المخترقون طلبًا إلكترونيًا مزيفًا مصحوبًا بملاحظة تفيد بأن "هناك احتمالًا لتعرض أبرياء للمعاناة أو الموت ما لم تتم معالجة هذا الطلب فورًا".

في هذا السيناريو، تجد الشركة المتلقية نفسها محاصرة بين نتيجتين: الفشل في الامتثال الفوري لـ EDR واحتمالية وجود دماء شخص ما على أيديها، أو ربما تسريب سجل العميل للشخص الخطأ.

ومما يزيد الأمر تعقيداً، وجود عشرات الآلاف من مراكز الشرطة حول العالم. فمع وجود أكثر من 18,000 ألف مركز في الولايات المتحدة وحدها، يكفي المخترقون اختراق حساب بريد إلكتروني واحد تابع للشرطة. وفي حالات أخرى، يخترقون خادم البريد الإلكتروني بالكامل ويتمكنون من الوصول إلى جميع الرسائل الإلكترونية المتداولة في مركز شرطة معين.

ما الذي يمكن عمله؟

قدّم مشرّعون في واشنطن العاصمة مشروع قانون لمكافحة أوامر المحاكم المزوّرة ، يهدف إلى تحسين النظام الحالي لإرسال تقارير الاحتيال الإلكتروني. ويلزم هذا المشروع جميع المحاكم الفيدرالية ومحاكم الولايات والمحاكم القبلية باستخدام التوقيع الرقمي للأوامر التي تُجيز المراقبة، ومصادرة النطاقات الإلكترونية، وإزالة المحتوى المنشور على الإنترنت. وتستخدم التوقيعات الرقمية تقنية التشفير لإثبات صحة المستندات والبيانات الأخرى، وهي تقنية شائعة الاستخدام في القطاع الخاص والسلطتين التنفيذية والتشريعية. ويوفّر مشروع القانون تمويلًا لمحاكم الولايات والمحاكم القبلية لتبنّي تقنية التوقيع الرقمي المتاحة على نطاق واسع، والتي تُلبي المعايير التي وضعها المعهد الوطني للمعايير والتكنولوجيا.

حتى يتم وضع وتنفيذ شيء من هذا القبيل، هناك إجراءات يمكن لشركتك اتخاذها للتحقق من شرعية طلبات البيانات هذه:

1. التحقق عبر الهاتفيجب على مسؤول حماية البيانات في مؤسستك، أو من يشغل منصبًا مشابهًا، البحث عن جهة إنفاذ القانون التي تقدم الطلب، والاتصال بمشرف مقدم الطلب أو قسمه للتحقق من هويته وصلاحية الطلب نفسه. يجب الحرص على البحث عن رقم هاتف الجهة الصحيح، وتجنب استخدام رقم موجود في نموذج الطلب أو البريد الإلكتروني، إذ يمكن للمحتالين انتحالهما.
2. التحقق الشخصي من الوثائق الصادرة عن الحكومةيمكن لمقدم الطلب تقديم بطاقة هوية حكومية شخصيًا إلى مسؤول حماية البيانات للتحقق من هويته. تتطلب هذه الطريقة التقليدية مراجعة بطاقة هوية أو وثيقة حكومية، ومع ذلك، يُنصح دائمًا بالاتصال بمكتب جهات إنفاذ القانون للتحقق من صحة الطلب. هذه الطريقة ضرورية فقط إذا احتاج مسؤول إنفاذ القانون إلى معلومات فورية حيث يكون الوقت حاسمًا.
3. كاتب عدليمكن لمقدم الطلب تقديم وثيقة موثقة للشركة أو مسؤول حماية البيانات للتحقق من هويته. تتطلب هذه الطريقة من الموثق الاطلاع على بطاقة هوية أو وثيقة حكومية والتصديق على هذا الفحص البصري كتابيًا. يُفضل دمج هذه الطريقة مع الطريقة الأولى أعلاه - التحقق عبر الهاتف لتوفير قائم على عاملين التحقق من الهوية. مع ذلك، ليس مطلوبًا وفقًا للبروتوكولات الحالية ضمن اللائحة العامة لحماية البيانات (GDPR) أو قانون خصوصية المستهلك في كاليفورنيا (CCPA) (مع أنه ينبغي أن يكون مطلوبًا، وهو ما يفعله ممارسو CyberHoot vCISO).

وبمجرد الانتهاء من ذلك، يمكن اتخاذ خطوات إضافية للتحقق من صحة الطلب، وتشمل فحص العناصر التالية: 

1. هل عنوان البريد الإلكتروني المرسل لهذا الطلب دقيق ومناسب (95% من هذه الطلبات تأتي من عنوان بريد إلكتروني .gov)؟
2. هل ختم الحكومة صحيح؟ إذا كانت هذه أول مرة ترى فيها ختمًا، يُرجى البحث عن ختم تلك الجهة على جوجل للرجوع إليه والتحقق من صحته.
3. قم بمراجعة تاريخ الطلب للتأكد من أنه لا يزال طلب SUBPOENA و/أو FISA ساري المفعول حيث تنتهي صلاحية هذه الطلبات.

بمجرد التأكد من أن الطلب شرعي وأصيل، يمكن لمنظمتك اتخاذ الإجراء واستكمال الطلب حسب الحاجة. 

توصيات إضافية بشأن الأمن السيبراني

بالإضافة إلى ذلك، ستساعدك التوصيات التالية أنت وشركتك على حماية أنفسكم من مختلف التهديدات التي قد تواجهونها يوميًا. يمكنكم الحصول على جميع الاقتراحات المذكورة أدناه من خلال الاستعانة بخدمات تطوير برنامج vCISO من CyberHoot.

1. حوكم موظفيك بالسياسات والإجراءات. ستحتاج إلى سياسة لكلمة المرور، وسياسة للاستخدام المقبول، وسياسة لمعالجة المعلومات، وبرنامج أمان معلومات مكتوب (WISP) كحد أدنى.
2. تدريب الموظفين على كيفية اكتشاف وتجنب هجمات التصيد. اعتماد نظام إدارة التعلم مثل CyberHoot لتعليم الموظفين المهارات التي يحتاجونها ليكونوا أكثر ثقة وإنتاجية وأمانًا.
3. اختبر موظفيك ضد هجمات التصيد الاحتيالي للتدرب عليها. يتيح اختبار التصيد الاحتيالي من CyberHoot للشركات اختبار موظفيها ضد هجمات تصيد احتيالي موثوقة، وإخضاع من يفشلون في ذلك لتدريب علاجي.
4. نشر تكنولوجيا الأمن السيبراني الهامة بما في ذلك المصادقة الثنائية على جميع الحسابات المهمة. فعّل تصفية البريد العشوائي، وتحقق من النسخ الاحتياطية، ونشر حماية DNS. الحماية من الفيروسات، ومكافحة البرامج الضارة على جميع نقاط النهاية لديك.
5. في عصر العمل من المنزل الحديث، تأكد من إدارة الأجهزة الشخصية المتصلة بشبكتك من خلال التحقق من أمانها (التصحيح، ومكافحة الفيروسات، وحماية DNS، وما إلى ذلك) أو حظر استخدامها تمامًا.
6. إذا لم تخضع لتقييم مخاطر من جهة خارجية خلال العامين الماضيين، فعليك القيام بذلك الآن. يُعدّ إنشاء إطار عمل لإدارة المخاطر في مؤسستك أمرًا بالغ الأهمية لمعالجة أخطر المخاطر في وقتك ومالك المحدودين.
7. اشترِ تأمينًا إلكترونيًا لحمايتك في حالات الفشل الكارثي. لا يختلف التأمين الإلكتروني عن تأمين السيارات أو الحرائق أو الفيضانات أو الحياة. فهو متاح لك عندما تكون في أمسّ الحاجة إليه.

جميع هذه التوصيات مُدمجة في منتج CyberHoot أو خدمات vCISO من CyberHoot. مع CyberHoot، يمكنك إدارة موظفيك وتدريبهم وتقييمهم واختبارهم. تفضل بزيارة CyberHoot.com واشترك في خدماتنا اليوم. على الأقل، واصل التعلم من خلال الاشتراك في نشراتنا الإخبارية الشهرية للأمن السيبراني للبقاء على اطلاع دائم بآخر مستجدات الأمن السيبراني.

مصادر:

قراصنة يكتسبون سلطة الاستدعاء عبر "طلبات بيانات طارئة" مزيفة

وايدن وتيليس ووايت هاوس يقدمون مشروع قانون مشترك بين الحزبين لمكافحة أوامر المحكمة المزيفة

قراءة إضافية: 

أبل، ميتا، وديسكورد سلمت بيانات المستخدمين إلى قراصنة. ماذا الآن؟