Falešné nouzové domovní prohlídky se stávají problémem

Zabezpečte své podnikání s CyberHootem ještě dnes!!!

Zaregistrujte se teď

Existuje znepokojivá a vysoce účinná strategie, kterou zločinní hackeři nyní používají ke shromažďování citlivých zákaznických dat od poskytovatelů internetových služeb (ISP), telefonních společností a firem sociálních médií. Tato strategie zahrnuje kompromitování e-mailových účtů a webových stránek propojených s policejními odděleními a vládními agenturami a následné odesílání neoprávněných „nouzových žádostí o data“ o údaje o předplatitelích, u nichž požadované informace nemohou čekat na soudní příkaz, protože se týkají otázek života a smrti.

Žádosti o data v nouzi

Ve Spojených státech musí federální, státní nebo místní orgány činné v trestním řízení, pokud chtějí získat informace o tom, kdo vlastní účet na sociální síti, nebo jaké internetové adresy konkrétní účet mobilního telefonu v minulosti používal, předložit oficiální soudní příkaz nebo předvolání. Prakticky všechny velké technologické společnosti a poskytovatelé internetových služeb (ISP) mají oddělení, která takové žádosti běžně přezkoumávají a zpracovávají. Takové žádosti jsou schváleny pouze po poskytnutí řádné dokumentace a po ověření totožnosti žadatele mimo pásmo (nikoli z e-mailu s žádostí o údaje) jako příslušníka skutečného policejního oddělení nebo orgánu činného v trestním řízení.

Stejně jako u většiny phishingových útoků, které vytvářejí kritický pocit naléhavosti v naději, že to bude katalyzátorem pro akci ze strany oběti, hackeři podávají žádosti o data od těchto organizací s tvrzením, že bezprostřední újma nebo smrt budou důsledkem nečinnosti. Legitimní vyšetřovatelé často podávají tzv. „nouzovou žádost o data“ (EDR), která v podstatě obchází jakékoli oficiální přezkum a nevyžaduje, aby žadatel poskytl žádné soudně schválené dokumenty. Pokud technologické společnosti za takových okolností žadatele neověří, hacker vyhrává a získává kritická data potřebná k provedení svých útoků.

Hackerova strategie

Hackeři zjistili, že pro společnost, která obdrží jedno z těchto EDR, neexistuje žádný rychlý a snadný způsob, jak zjistit, zda je legitimní. Pomocí neoprávněného přístupu k policejním e-mailovým systémům nebo individuálním účtům hackeři odešlou falešný požadavek EDR spolu s poznámkou, že „pokud nebude tento požadavek na data okamžitě zpracován, existuje zde možnost, že nevinní lidé utrpí nebo zemřou“.

V tomto scénáři se přijímající společnost ocitá mezi dvěma možnými výsledky: nedodržením okamžitého EDR a potenciálním poskvrněním něčí krve, nebo možným únikem záznamů o zákazníkovi nesprávné osobě.

Aby toho nebylo málo, po celém světě existují desítky tisíc policejních okrsků. Jen ve Spojených státech jich je více než 18 000 a hackerům k úspěchu stačí přístup k jedinému policejnímu e-mailovému účtu. V jiných případech se jim podaří proniknout do celého e-mailového serveru a získat přístup k veškerému e-mailovému provozu probíhajícímu v daném okrsku.

Co lze udělat?

Zákonodárci ve Washingtonu, D.C., předložili návrh zákona o boji proti padělaným soudním příkazům , který by vylepšil stávající systém zasílání elektronických soudních příkazů (EDR). Vyžadoval by, aby všechny federální, státní a kmenové soudy používaly digitální podpis pro příkazy povolující sledování, zabavení domén a odstraňování online obsahu. Digitální podpisy využívají šifrovací technologii k prokázání pravosti dokumentů a dalších dat, které jsou široce využívány soukromým sektorem, výkonnou a zákonodárnou mocí. Návrh zákona poskytuje finanční prostředky státním a kmenovým soudům na přijetí široce dostupné technologie digitálního podpisu, která splňuje standardy vyvinuté Národním institutem pro standardy a technologie.

Dokud nebude něco takového zavedeno a implementováno, existují kroky, které může vaše společnost podniknout k ověření oprávněnosti těchto žádostí o údaje:

1. Ověření telefonickyPověřenec pro ochranu osobních údajů (DPO) vaší organizace nebo někdo, kdo pracuje v podobné roli, musí zjistit, který orgán činný v trestním řízení podává žádost, a telefonicky kontaktovat nadřízeného nebo oddělení žadatele, aby ověřil totožnost žadatele a platnost samotné žádosti. Je třeba dbát na to, abyste si zjistili správné telefonní číslo subjektu, a nepoužívejte číslo uvedené ve formuláři žádosti nebo e-mailu, protože obojí by mohl podvodník zfalšovat.
2. Osobní ověření vládou vydaných dokumentůŽadatel může osobně poskytnout pověřenci pro ochranu osobních údajů průkaz totožnosti vydaný vládou k ověření své totožnosti. Tato metoda v kamenné prodejně vyžaduje kontrolu průkazu totožnosti nebo dokladu vydaného vládou, vždy je však vhodné zavolat také do kanceláře policie, aby žádost byla ověřena. Tato metoda je nezbytná pouze v případě, že policista potřebuje okamžité informace a čas je klíčový.
3. NotářŽadatel může společnosti nebo pověřenci pro ochranu osobních údajů poskytnout notářsky ověřený dokument k ověření své totožnosti. Tato metoda vyžaduje, aby notář zkontroloval úředně vydaný průkaz totožnosti nebo dokument a tuto vizuální kontrolu písemně potvrdil. V ideálním případě by se tato metoda kombinovala s výše uvedeným bodem č. 1 – telefonickým ověřením za účelem dvoufaktorový Ověření identity. Nicméně to není vyžadováno na základě současných protokolů v rámci GDPR nebo CCPA (ačkoli by to mělo být A JE to, co dělají odborníci na vCISO v CyberHoot).

Jakmile je to provedeno, lze podniknout další kroky k ověření pravosti žádosti, mezi které patří kontrola následujících položek: 

1. Je e-mailová adresa odesílatele této žádosti přesná a vhodná (95 % těchto žádostí pochází z e-mailové adresy s doménou .gov)?
2. Je pečeť vlády správná? Pokud pečeť vidíte poprvé, vyhledejte si prosím pečeť dané agentury na Googlu pro referenci a ověření.
3. Zkontrolujte datum žádosti a ujistěte se, že se stále jedná o platnou žádost SUPPOENA a/nebo žádost FISA, protože tyto žádosti vyprší.

Jakmile je žádost potvrzena jako legitimní a pravá, může vaše organizace podniknout kroky a žádost dle potřeby dokončit. 

Další doporučení pro kybernetickou bezpečnost

Kromě toho vám a vaší firmě pomohou tato níže uvedená doporučení zůstat v bezpečí před různými hrozbami, kterým můžete denně čelit. Všechna níže uvedená doporučení můžete získat najmutím služeb vývoje programu vCISO od společnosti CyberHoot.

1. Říďte zaměstnance pomocí zásad a postupů. Potřebujete minimálně zásady pro hesla, zásady pro přijatelné použití, zásady pro nakládání s informacemi a písemný program zabezpečení informací (WISP).
2. Školte zaměstnance, jak je rozpoznat a jak se jim vyhnout phishingové útokyZaveďte systém pro řízení vzdělávání, jako je CyberHoot, abyste zaměstnancům poskytli dovednosti, které potřebují k větší sebedůvěrě, produktivitě a bezpečí.
3. Otestujte zaměstnance phishingovými útoky pro procvičení. Phishingové testování od CyberHootu umožňuje firmám otestovat zaměstnance věrohodnými phishingovými útoky a ty, kteří neuspějí, zařadit do nápravného phishingového školení.
4. Nasaďte kritické technologie kybernetické bezpečnosti, včetně dvoufaktorová autentizace na všech kritických účtech. Povolte filtrování spamu v e-mailech, ověřte zálohy a nasaďte ochranu DNS. antivirusa antimalwarovou ochranu na všech vašich koncových bodech.
5. V moderní éře práce z domova se ujistěte, že spravujete osobní zařízení připojující se k vaší síti ověřením jejich zabezpečení (záplaty, antivirový program, ochrana DNS atd.) nebo jejich používání zcela zakážete.
6. Pokud jste v posledních 2 letech neprovedli posouzení rizik třetí stranou, měli byste ho provést nyní. Zavedení rámce pro řízení rizik ve vaší organizaci je zásadní pro řešení nejzávažnějších rizik s vaším omezeným časem a penězi.
7. Pořiďte si kybernetické pojištění, které vás ochrání v případě katastrofického selhání. Kybernetické pojištění se neliší od pojištění auta, požáru, povodně nebo životního pojištění. Je tu pro vás, když ho nejvíce potřebujete.

Všechna tato doporučení jsou součástí produktu CyberHoot nebo služeb vCISO od CyberHoot. S CyberHootem můžete řídit, školit, hodnotit a testovat své zaměstnance. Navštivte CyberHoot.com a zaregistrujte se k odběru našich služeb ještě dnes. Minimálně se můžete i nadále vzdělávat přihlášením k odběru našich měsíčních newsletterů o kybernetické bezpečnosti , abyste byli informováni o aktuálních aktualizacích v oblasti kybernetické bezpečnosti.

Zdroje:

Hackeři získávají moc předvolání prostřednictvím falešných „žádostí o nouzová data“

Wyden, Tillis a Whitehouse předkládají dvoustranný zákon na boj proti padělaným soudním příkazům

Další čtení: 

Apple, Meta a Discord předaly uživatelská data hackerům. Co teď?