Les faux mandats de perquisition d'urgence deviennent un problème

Sécurisez votre entreprise avec CyberHoot dès aujourd'hui !!!

S'inscrire maintenant

Les pirates informatiques utilisent désormais une stratégie inquiétante et extrêmement efficace pour récupérer les données sensibles des clients des fournisseurs d'accès à Internet (FAI), des opérateurs téléphoniques et des réseaux sociaux. Cette stratégie consiste à compromettre les comptes de messagerie et les sites web liés aux services de police et aux agences gouvernementales, puis à envoyer des « demandes de données d'urgence » non autorisées pour obtenir les données des abonnés, les informations demandées ne pouvant attendre une décision de justice, car elles concernent des questions de vie ou de mort.

Demandes de données d'urgence

Aux États-Unis, lorsque les forces de l'ordre fédérales, étatiques ou locales souhaitent obtenir des informations sur le propriétaire d'un compte sur un réseau social ou sur les adresses Internet utilisées par un compte de téléphone portable, elles doivent présenter un mandat officiel ou une assignation à comparaître. La quasi-totalité des grandes entreprises technologiques et des fournisseurs d'accès à Internet (FAI) disposent de services qui examinent et traitent régulièrement ces demandes. Ces demandes ne sont acceptées qu'après la fourniture des documents appropriés et la vérification de l'identité du demandeur hors bande (et non à partir de l'e-mail de demande de données) comme appartenant au service de police ou à l'organisme chargé de l'application de la loi.

Cependant, comme dans la plupart des attaques de phishing qui créent un sentiment d'urgence extrême dans l'espoir de pousser la victime à agir, les pirates informatiques adressent des demandes de données à ces organisations en prétendant qu'un préjudice imminent, voire la mort, résultera de l'inaction. Souvent, des agents d'enquête légitimes formulent ce que l'on appelle une « demande de données d'urgence » (EDR), qui contourne de fait toute vérification officielle et n'exige pas du demandeur la fourniture de documents approuvés par un tribunal. Si les entreprises technologiques ne vérifient pas l'identité du demandeur dans de telles circonstances, le pirate informatique obtient gain de cause et s'empare des données cruciales nécessaires à la réalisation de ses attaques.

La stratégie du hacker

Les pirates informatiques ont découvert qu'il n'existe aucun moyen simple et rapide pour une entreprise recevant une demande de données électroniques (EDR) de vérifier sa légitimité. En exploitant un accès non autorisé aux systèmes de messagerie de la police ou à des comptes individuels, ils envoient une fausse demande EDR accompagnée d'un message indiquant que « des personnes innocentes risquent de souffrir, voire de mourir, si cette demande de données n'est pas traitée immédiatement ».

Dans ce scénario, l'entreprise réceptrice se retrouve prise entre deux issues : ne pas se conformer immédiatement à un EDR et avoir potentiellement le sang de quelqu'un sur les mains, ou éventuellement divulguer un dossier client à la mauvaise personne.

Pour compliquer encore les choses, il existe des dizaines de milliers de juridictions policières à travers le monde. Aux États-Unis seulement, avec plus de 18 000 juridictions, il suffit aux pirates informatiques d'accéder à un seul compte de messagerie de la police pour réussir leur mission. Dans d'autres cas, ils parviennent à compromettre l'intégralité du serveur de messagerie et à accéder à tout le trafic de courriels d'un commissariat donné.

Que peut-on faire?

Des parlementaires de Washington, D.C., ont déposé un projet de loi visant à lutter contre la contrefaçon d'ordonnances judiciaires. Ce texte prévoit d'améliorer le système actuel d'envoi des ordonnances électroniques de décision (EDR). Il imposerait à tous les tribunaux fédéraux, d'État et tribaux l'utilisation d'une signature numérique pour les ordonnances autorisant la surveillance, la saisie de noms de domaine et le retrait de contenus en ligne. Les signatures numériques, qui utilisent le chiffrement pour garantir l' authenticité des documents et autres données, sont largement employées par le secteur privé et les pouvoirs exécutif et législatif. Le projet de loi prévoit un financement pour permettre aux tribunaux d'État et tribaux d'adopter une technologie de signature numérique largement disponible et conforme aux normes établies par le National Institute of Standards and Technology (NIST).

En attendant qu'une telle mesure soit mise en place et mise en œuvre, votre entreprise peut prendre certaines mesures pour vérifier la légitimité de ces demandes de données :

1. Vérification par téléphoneLe délégué à la protection des données (DPD) de votre organisation, ou une personne occupant un poste similaire, doit se renseigner sur l'organisme chargé de l'application de la loi à l'origine de la demande et contacter le responsable ou le service du demandeur afin de vérifier l'identité de ce dernier et la validité de la demande. Il est impératif de rechercher le numéro de téléphone correct de l'entité et de ne pas utiliser un numéro figurant sur le formulaire de demande ou l'adresse e-mail, car ces deux numéros pourraient être usurpés par un fraudeur.
2. Vérification en personne des documents émis par le gouvernementUn demandeur peut présenter en personne une pièce d'identité officielle au DPO pour valider son identité. Cette méthode traditionnelle nécessite l'examen d'une pièce d'identité officielle. Cependant, il est toujours conseillé d'appeler également le bureau des forces de l'ordre pour valider la demande. Cette méthode n'est nécessaire que si les forces de l'ordre ont besoin d'informations immédiates et que le temps presse.
3. NotaireUn demandeur peut fournir un document notarié à l'entreprise ou au DPO pour valider son identité. Cette méthode nécessite que le notaire examine une carte d'identité ou un document officiel et atteste de cette inspection visuelle par écrit. Idéalement, cette méthode serait combinée à la méthode n° 1 ci-dessus : la vérification par téléphone. basé sur deux facteurs Validation d'identité. Cependant, cette procédure n'est pas obligatoire selon les protocoles actuels du RGPD ou du CCPA (bien que cela devrait l'être, et c'est ce que font les praticiens vCISO de CyberHoot).

Une fois cela fait, des mesures supplémentaires peuvent être prises pour vérifier l'authenticité de la demande, notamment l'inspection des éléments suivants : 

1. L'adresse e-mail d'envoi de cette demande est-elle exacte et appropriée (95 % de ces demandes proviennent d'une adresse e-mail .gov) ?
2. Le sceau du gouvernement est-il correct ? Si c'est la première fois que vous voyez un sceau, veuillez le rechercher sur Google pour référence et validation.
3. Vérifiez la date de la demande pour vous assurer qu'il s'agit toujours d'une ASSIGNATION À COMPTER et/ou d'une demande FISA valide et en vigueur, car ces demandes expirent.

Une fois la demande confirmée comme légitime et authentique, votre organisation peut prendre des mesures et compléter la demande selon les besoins. 

Recommandations supplémentaires en matière de cybersécurité

De plus, les recommandations ci-dessous vous aideront, vous et votre entreprise, à vous protéger contre les différentes menaces auxquelles vous pouvez être confrontés au quotidien. Toutes les suggestions mentionnées ci-dessous peuvent être mises en œuvre en faisant appel aux services de développement du programme vCISO de CyberHoot.

1. Gérez vos employés avec des politiques et des procédures. Vous devez au minimum disposer d'une politique de mots de passe, d'une politique d'utilisation acceptable, d'une politique de traitement des informations et d'un programme écrit de sécurité de l'information (WISP).
2. Former les employés à repérer et à éviter attaques de phishingAdoptez un système de gestion de l’apprentissage comme CyberHoot pour enseigner aux employés les compétences dont ils ont besoin pour être plus confiants, productifs et en sécurité.
3. Testez vos employés avec des attaques de phishing pour vous entraîner. Les tests de phishing de CyberHoot permettent aux entreprises de tester leurs employés avec des attaques de phishing crédibles et de former ceux qui échouent à une formation corrective.
4. Déployer une technologie de cybersécurité critique, notamment authentification à deux facteurs sur tous les comptes critiques. Activez le filtrage anti-spam, validez les sauvegardes et déployez la protection DNS. antivirus, et anti-malware sur tous vos terminaux.
5. À l'ère du travail à domicile moderne, assurez-vous de gérer les appareils personnels se connectant à votre réseau en validant leur sécurité (correctifs, antivirus, protections DNS, etc.) ou en interdisant totalement leur utilisation.
6. Si vous n'avez pas fait réaliser d'évaluation des risques par un tiers au cours des deux dernières années, vous devriez en faire une dès maintenant. La mise en place d'un cadre de gestion des risques au sein de votre organisation est essentielle pour gérer vos risques les plus graves avec un temps et un budget limités.
7. Souscrivez une cyberassurance pour vous protéger en cas de sinistre catastrophique. La cyberassurance est comparable à une assurance auto, incendie, inondation ou vie. Elle est là quand vous en avez le plus besoin.

Toutes ces recommandations sont intégrées au produit CyberHoot et aux services vCISO de CyberHoot. Avec CyberHoot, vous pouvez gérer, former, évaluer et tester vos employés. Rendez-vous sur CyberHoot.com et inscrivez-vous à nos services dès aujourd'hui. À défaut, continuez à vous former en vous abonnant à nos newsletters mensuelles sur la cybersécurité pour rester informé des dernières actualités.

Sources:

Des pirates informatiques obtiennent le pouvoir d'assigner à comparaître grâce à de fausses « demandes de données d'urgence »

Wyden, Tillis et Whitehouse présentent un projet de loi bipartisan pour lutter contre les ordonnances judiciaires contrefaites

Lectures complémentaires: 

Apple, Meta et Discord ont tous transmis les données de leurs utilisateurs à des pirates. Et maintenant ?