Falske nødsøgningskendelser bliver et problem

Sikr din virksomhed med CyberHoot i dag!!!

Tilmeld dig nu

Der er en bekymrende og yderst effektiv strategi, som kriminelle hackere nu bruger til at indsamle følsomme kundedata fra internetudbydere (ISP'er), telefonselskaber og sociale mediefirmaer. Denne strategi involverer at kompromittere e-mailkonti og websteder knyttet til politiafdelinger og offentlige myndigheder, og derefter sende uautoriserede "nødanmodninger om data" for abonnentdata, hvor de anmodede oplysninger ikke kan vente på en retskendelse, fordi de vedrører spørgsmål om liv eller død.

Nødanmodninger om data

I USA skal føderale, statslige eller lokale retshåndhævende myndigheder, når de ønsker at indhente oplysninger om, hvem der ejer en konto hos et socialt mediefirma, eller hvilke internetadresser en specifik mobiltelefonkonto har brugt tidligere, indsende en officiel retskendelse eller stævning. Næsten alle større teknologivirksomheder og internetudbydere (ISP'er) har afdelinger, der rutinemæssigt gennemgår og behandler sådanne anmodninger. Sådanne anmodninger imødekommes kun, når korrekt dokumentation er fremlagt, og anmoderens identitet er verificeret uden for båndet (ikke ud fra den e-mail, der anmoder om dataene) som tilhørende den faktiske politiafdeling eller retshåndhævende myndighed.

Men ligesom de fleste phishing-angreb, der skaber en kritisk følelse af hastende handling i håb om, at det er katalysatoren for handling fra offerets side, fremsætter hackere dataanmodninger til disse organisationer med den påstand, at passivitet vil medføre overhængende skade eller død. Mange gange fremsætter legitime efterforskningsofficerer det, der er kendt som en "Emergency Data Request" (EDR), som i bund og grund omgår enhver officiel gennemgang og ikke kræver, at anmoderen fremlægger nogen retsgodkendte dokumenter. Hvis teknologivirksomheder ikke validerer anmoderen under sådanne omstændigheder, vinder hackeren og får de kritiske data, der er nødvendige for at udføre deres angreb.

Hackerens strategi

Hackere har fundet ud af, at der ikke findes nogen hurtig og nem måde for en virksomhed, der modtager en af ​​disse EDR'er, at vide, om den er legitim. Ved at bruge uautoriseret adgang til politiets e-mailsystemer eller individuelle konti sender hackere en falsk EDR-anmodning sammen med en note om, at "der er potentiale for, at uskyldige mennesker lider eller dør, medmindre denne dataanmodning behandles øjeblikkeligt".

I dette scenarie befinder den modtagende virksomhed sig fanget mellem to udfald: manglende øjeblikkelig overholdelse af en EDR og potentielt få nogens blod på hænderne, eller muligvis lække en kundejournal til den forkerte person.

For at gøre tingene endnu mere komplicerede er der titusindvis af politimyndigheder verden over. Med mere end 18,000 alene i USA kræver det kun hackere at få adgang til en enkelt politi-e-mailkonto for at få succes. I andre tilfælde bryder de ind i hele e-mailserveren og har adgang til al den e-mailtrafik, der foregår i en bestemt valgkreds.

Hvad kan der gøres?

Lovgivere i Washington, DC, har fremsat et lovforslag til bekæmpelse af forfalskede retskendelser , der vil forbedre det nuværende system til afsendelse af elektroniske signaturdokumenter (EDR'er). Det vil kræve, at alle føderale, statslige og stammedomstole bruger en digital signatur til kendelser, der godkender overvågning, domænebeslaglæggelser og fjernelse af onlineindhold. Digitale signaturer bruger krypteringsteknologi til at bevise ægtheden af ​​dokumenter og andre data, som er meget udbredt af den private sektor, den udøvende og lovgivende magt. Lovforslaget giver finansiering til statslige og stammedomstole til at indføre bredt tilgængelig digital signaturteknologi, der opfylder standarder udviklet af National Institute of Standards and Technology.

Indtil noget lignende er på plads og implementeret, er der handlinger, som din virksomhed kan foretage for at verificere legitimiteten af disse dataanmodninger:

1. Telefonbaseret verifikationDin organisations databeskyttelsesrådgiver (DPO) eller en person, der arbejder i en lignende rolle, skal undersøge den retshåndhævende myndighed, der fremsætter anmodningen, og ringe til anmoderens supervisor eller afdeling for at bekræfte anmoderens identitet og gyldigheden af selve anmodningen. Vær omhyggelig med at undersøge det korrekte telefonnummer til enheden og ikke bruge et nummer, der findes på anmodningsformularen eller e-mailen, da begge kan være forfalskede af en svindler.
2. Personlig verifikation af offentligt udstedt dokumentationEn anmoder kan personligt fremvise et offentligt udstedt ID til databeskyttelsesrådgiveren for at bekræfte deres identitet. Denne metode, der foregår i fysiske butikker, kræver gennemgang af et offentligt udstedt identifikationskort eller -dokument. Det er dog altid klogt også at kontakte politiets kontor for at bekræfte anmodningen. Denne metode er kun nødvendig, hvis politiets repræsentant har brug for øjeblikkelige oplysninger, hvor tiden er af afgørende betydning.
3. NotarEn anmoder kan fremvise et notarbekræftet dokument til virksomheden eller databeskyttelsesrådgiveren for at bekræfte deres identitet. Denne metode kræver, at notaren inspicerer et offentligt udstedt identifikationskort eller dokument og skriftligt bekræfter denne visuelle inspektion. Ideelt set ville denne metode kombineres med #1 ovenfor – telefonbaseret verifikation for at give tofaktorbaseret identitetsvalidering. Det er dog ikke påkrævet baseret på nuværende protokoller inden for GDPR eller CCPA (selvom det burde være det, OG er, hvad CyberHoot vCISO-udøvere gør).

Når dette er gjort, kan der tages yderligere skridt for at verificere anmodningens ægthed, herunder inspektion af følgende punkter: 

1. Er afsender-e-mailadressen for denne anmodning nøjagtig og passende (95 % af disse anmodninger kommer fra en .gov-e-mailadresse)?
2. Er regeringens segl korrekt? Hvis det er første gang, du ser et segl, bedes du søge efter det pågældende agenturs segl på Google for at få reference og validering.
3. Gennemgå datoen for anmodningen for at sikre, at det stadig er en gyldig, gældende stævning og/eller FISA-anmodning, da disse anmodninger udløber.

Når anmodningen er blevet bekræftet som legitim og autentisk, kan din organisation handle og fuldføre anmodningen efter behov. 

Yderligere anbefalinger til cybersikkerhed

Derudover vil disse anbefalinger nedenfor hjælpe dig og din virksomhed med at forblive sikre mod de forskellige trusler, I kan stå over for i det daglige. Alle nedenstående forslag kan opnås ved at hyre CyberHoots vCISO-programudviklingstjenester.

1. Styr medarbejderne med politikker og procedurer. Du skal som minimum have en adgangskodepolitik, en politik for acceptabel brug, en politik for informationshåndtering og et skriftligt informationssikkerhedsprogram (WISP).
2. Træn medarbejderne i, hvordan de kan opdage og undgå phishing-angrebIndfør et læringsstyringssystem som CyberHoot for at lære medarbejderne de færdigheder, de har brug for, for at blive mere selvsikre, produktive og sikre.
3. Test medarbejdere med phishing-angreb for at øve dig. CyberHoots phish-test giver virksomheder mulighed for at teste medarbejdere med troværdige phishing-angreb og give dem, der fejler, træning i afhjælpende phishing.
4. Implementer kritisk cybersikkerhedsteknologi, herunder to-faktor autentificering på alle kritiske konti. Aktivér e-mail SPAM-filtrering, valider sikkerhedskopier og implementer DNS-beskyttelse, antivirusog anti-malware på alle dine endpoints.
5. I den moderne hjemmearbejdstid skal du sørge for at administrere personlige enheder, der opretter forbindelse til dit netværk, ved at validere deres sikkerhed (patches, antivirus, DNS-beskyttelse osv.) eller helt forbyde deres brug.
6. Hvis du ikke har fået foretaget en risikovurdering af en tredjepart inden for de sidste 3 år, bør du få en nu. Det er afgørende at etablere en risikostyringsramme i din organisation for at håndtere dine mest alvorlige risici med din begrænsede tid og dine penge.
7. Køb cyberforsikring for at beskytte dig i en katastrofal nødsituation. Cyberforsikring er ikke anderledes end bil-, brand-, oversvømmelses- eller livsforsikring. Den er der, når du har mest brug for den.

Alle disse anbefalinger er indbygget i CyberHoot-produktet eller CyberHoots vCISO-tjenester. Med CyberHoot kan du styre, træne, vurdere og teste dine medarbejdere. Besøg CyberHoot.com og tilmeld dig vores tjenester i dag. Fortsæt som minimum med at lære ved at tilmelde dig vores månedlige nyhedsbreve om cybersikkerhed for at holde dig opdateret om de seneste cybersikkerhedsopdateringer.

kilder:

Hackere får magt over stævninger via falske "nødanmodninger om data"

Wyden, Tillis og Whitehouse fremlægger tværpolitisk lovforslag til bekæmpelse af forfalskede retskendelser

Yderligere læsning: 

Apple, Meta og Discord har alle overleveret brugerdata til hackere. Hvad nu?