I falsi mandati di perquisizione d'emergenza stanno diventando un problema

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora

Esiste una strategia preoccupante e altamente efficace che gli hacker stanno attualmente utilizzando per raccogliere dati sensibili dei clienti da provider di servizi Internet (ISP), compagnie telefoniche e social media. Questa strategia prevede la compromissione di account di posta elettronica e siti web collegati a dipartimenti di polizia e agenzie governative, per poi inviare "Richieste di dati di emergenza" non autorizzate per i dati degli abbonati, le cui informazioni non possono attendere un ordine del tribunale perché riguardano questioni di vita o di morte.

Richieste di dati di emergenza

Negli Stati Uniti, quando le forze dell'ordine federali, statali o locali desiderano ottenere informazioni sul titolare di un account presso un'azienda di social media o sugli indirizzi Internet utilizzati in passato da uno specifico account di telefono cellulare, devono presentare un mandato di comparizione o una citazione ufficiale emessa da un tribunale. Praticamente tutte le principali aziende tecnologiche e gli Internet Service Provider (ISP) dispongono di dipartimenti che esaminano ed elaborano regolarmente tali richieste. Tali richieste vengono accolte solo dopo aver fornito la documentazione necessaria e aver verificato l'identità del richiedente fuori banda (non tramite l'email di richiesta dei dati) come appartenente al dipartimento di polizia o all'agenzia di polizia.

Tuttavia, come la maggior parte degli attacchi di phishing che creano un forte senso di urgenza nella speranza che questo spinga la vittima ad agire, gli hacker richiedono dati a queste organizzazioni, sostenendo che l'inazione comporterà danni imminenti o la morte. Spesso, gli ufficiali inquirenti legittimi presentano una cosiddetta "Richiesta di Dati di Emergenza" (EDR), che di fatto aggira qualsiasi verifica ufficiale e non richiede al richiedente di fornire documenti approvati dal tribunale. Se le aziende tecnologiche non verificano l'identità del richiedente in tali circostanze, l'hacker ha la meglio e ottiene i dati cruciali necessari per portare a termine i suoi attacchi.

La strategia dell'hacker

Gli hacker hanno capito che non esiste un modo semplice e veloce per un'azienda che riceve una di queste richieste di dati elettronici (EDR) per sapere se è legittima. Utilizzando l'accesso non autorizzato ai sistemi di posta elettronica della polizia o agli account individuali, gli hacker inviano una falsa richiesta di dati elettronici insieme a una nota che afferma: "Esiste il rischio che persone innocenti soffrano o muoiano se questa richiesta di dati non viene elaborata immediatamente".

In questo scenario, l'azienda ricevente si trova di fronte a due possibilità: non ottemperare immediatamente a un EDR e ritrovarsi potenzialmente con le mani sporche del sangue di qualcuno, oppure far trapelare i dati di un cliente alla persona sbagliata.

A complicare ulteriormente le cose, esistono decine di migliaia di giurisdizioni di polizia in tutto il mondo. Con oltre 18,000 solo negli Stati Uniti, agli hacker basta accedere a un singolo account di posta elettronica di una polizia per avere successo. In altri casi, violano l'intero server di posta elettronica e hanno accesso a tutto il traffico email di un determinato distretto.

Cosa si può fare?

A Washington, D.C., i legislatori hanno presentato un disegno di legge per contrastare la falsificazione degli ordini giudiziari , che migliorerebbe l'attuale sistema di invio delle notifiche elettroniche di notifica (EDR). Il disegno di legge imporrebbe a tutti i tribunali federali, statali e tribali di utilizzare una firma digitale per gli ordini che autorizzano la sorveglianza, il sequestro di domini e la rimozione di contenuti online. Le firme digitali utilizzano la tecnologia di crittografia per comprovare l' autenticità di documenti e altri dati, e sono ampiamente utilizzate nel settore privato, nell'esecutivo e nel legislativo. Il disegno di legge prevede finanziamenti per consentire ai tribunali statali e tribali di adottare tecnologie di firma digitale ampiamente disponibili e conformi agli standard sviluppati dal National Institute of Standards and Technology (NIST).

Finché non verrà attuato e implementato qualcosa del genere, la tua azienda può adottare alcune misure per verificare la legittimità di queste richieste di dati:

1. Verifica tramite telefono: Il Responsabile della Protezione dei Dati (DPO) della tua organizzazione, o qualcuno che ricopre un ruolo analogo, deve ricercare l'autorità di polizia che ha inoltrato la richiesta e contattare telefonicamente il supervisore o il dipartimento del richiedente per verificare l'identità del richiedente e la validità della richiesta stessa. È necessario prestare attenzione a ricercare il numero di telefono corretto dell'ente e a non utilizzare un numero presente nel modulo di richiesta o nell'email, poiché entrambi potrebbero essere falsificati da un truffatore.
2. Verifica di persona dei documenti rilasciati dal governo: Il richiedente può presentare personalmente al DPO un documento d'identità rilasciato da un ente governativo per convalidare la propria identità. Questo metodo tradizionale richiede la verifica di un documento d'identità o di un documento rilasciato da un ente governativo; tuttavia, è sempre consigliabile contattare anche l'ufficio delle forze dell'ordine per convalidare la richiesta. Questo metodo è necessario solo se l'agente delle forze dell'ordine necessita di informazioni immediate, in casi in cui il tempo è essenziale.
3. Notaio: Il richiedente può fornire un documento notarile all'azienda o al DPO per convalidare la propria identità. Questo metodo richiede al notaio di ispezionare un documento d'identità o un documento rilasciato dal governo e di attestare per iscritto tale ispezione visiva. Idealmente, questo metodo dovrebbe essere combinato con il punto 1 di cui sopra, ovvero la verifica telefonica, per fornire basato su due fattori Convalida dell'identità. Tuttavia, non è richiesta in base ai protocolli attuali del GDPR o del CCPA (anche se dovrebbe esserlo, come avviene per i professionisti vCISO di CyberHoot).

Una volta fatto questo, si possono adottare ulteriori misure per verificare l'autenticità della richiesta, tra cui l'ispezione dei seguenti elementi: 

1. L'indirizzo email di invio per questa richiesta è accurato e appropriato (il 95% di queste richieste proviene da un indirizzo email .gov)?
2. Il sigillo governativo è corretto? Se è la prima volta che vedi un sigillo, cerca su Google il sigillo dell'agenzia per riferimento e convalida.
3. Controllare la data della richiesta per assicurarsi che si tratti ancora di una richiesta di SUBPOENA e/o FISA valida e in vigore, poiché queste richieste scadono.

Una volta che la richiesta è stata confermata come legittima e autentica, la tua organizzazione può intervenire e completarla secondo necessità. 

Ulteriori raccomandazioni sulla sicurezza informatica

Inoltre, i suggerimenti che seguono vi aiuteranno a proteggere voi e la vostra azienda dalle varie minacce che potreste incontrare quotidianamente. Tutti i suggerimenti elencati di seguito possono essere implementati avvalendosi dei servizi di sviluppo del programma vCISO di CyberHoot.

1. Gestisci i dipendenti con policy e procedure. Sono necessari almeno una policy sulle password, una policy di utilizzo accettabile, una policy sulla gestione delle informazioni e un programma di sicurezza delle informazioni (WISP) scritto.
2. Formare i dipendenti su come individuare ed evitare attacchi di phishingAdotta un sistema di gestione dell'apprendimento come CyberHoot per insegnare ai dipendenti le competenze di cui hanno bisogno per essere più sicuri, produttivi e protetti.
3. Testare i dipendenti con attacchi di phishing per fare pratica. I test di phishing di CyberHoot consentono alle aziende di testare i dipendenti con attacchi di phishing credibili e di sottoporre coloro che non superano il test a un corso di formazione sul phishing correttivo.
4. Distribuire tecnologie di sicurezza informatica critiche, tra cui autenticazione a due fattori su tutti gli account critici. Abilita il filtro antispam, convalida i backup e implementa la protezione DNS, antiviruse anti-malware su tutti i tuoi endpoint.
5. Nell'era moderna del lavoro da casa, assicurati di gestire i dispositivi personali che si connettono alla tua rete convalidandone la sicurezza (applicazione di patch, antivirus, protezioni DNS, ecc.) o vietandone completamente l'uso.
6. Se non avete effettuato una valutazione del rischio da una terza parte negli ultimi due anni, dovreste farlo ora. Definire un framework di gestione del rischio nella vostra organizzazione è fondamentale per affrontare i rischi più gravi con il tempo e il denaro limitati a disposizione.
7. Acquista un'assicurazione informatica per proteggerti in caso di guasto catastrofico. L'assicurazione informatica non è diversa dalle assicurazioni auto, incendio, alluvione o vita. È al tuo fianco quando ne hai più bisogno.

Tutte queste raccomandazioni sono integrate nel prodotto CyberHoot o nei servizi vCISO di CyberHoot. Con CyberHoot puoi gestire, formare, valutare e testare i tuoi dipendenti. Visita CyberHoot.com e iscriviti oggi stesso ai nostri servizi. Inoltre, continua ad aggiornarti iscrivendoti alle nostre newsletter mensili sulla sicurezza informatica per rimanere sempre al passo con le ultime novità in materia.

Fonti:

Gli hacker ottengono il potere di citazione tramite false “richieste di dati di emergenza”

Wyden, Tillis e Whitehouse presentano una proposta di legge bipartisan per combattere le sentenze false dei tribunali

Letture aggiuntive: 

Apple, Meta e Discord hanno consegnato i dati degli utenti agli hacker. E ora?