가짜 긴급 수색 영장이 문제가 되고 있다

2022년 4월 12일 | 블로그

지금 CyberHoot으로 귀하의 사업을 보호하세요!!!

범죄 해커들이 인터넷 서비스 제공업체(ISP), 통신사, 소셜 미디어 회사 등에서 민감한 고객 데이터를 수집하기 위해 사용하는 우려스럽고 매우 효과적인 전략이 있습니다. 이 전략은 경찰서 및 정부 기관과 연계된 이메일 계정과 웹사이트를 해킹한 후, 가입자 데이터에 대한 무단 "긴급 데이터 요청"을 전송하는 방식으로 진행됩니다. 요청된 정보는 생사가 걸린 문제이기 때문에 법원 명령을 기다릴 수 없습니다.

긴급 데이터 요청

미국에서는 연방, 주 또는 지방 법 집행 기관이 소셜 미디어 회사 계정 소유자 또는 특정 휴대폰 계정에서 과거에 사용했던 인터넷 주소에 대한 정보를 얻으려면 법원이 명령한 공식 영장이나 소환장을 제출해야 합니다. 거의 모든 주요 기술 기업과 인터넷 서비스 제공업체(ISP)는 이러한 요청을 정기적으로 검토하고 처리하는 부서를 두고 있습니다. 이러한 요청은 적절한 서류가 제출되고 요청자의 신원이 (데이터 요청 이메일이 아닌) 대역 외에서 실제 경찰서 또는 법 집행 기관 소속임이 확인된 경우에만 승인됩니다.

하지만 대부분의 피싱 공격처럼, 해커들은 피해자에게 긴급한 상황이 발생하여 조치를 취하도록 유도하기 위해 해당 조직에 데이터 제공을 요구하며, 조치를 취하지 않을 경우 임박한 피해나 사망이 발생할 것이라고 주장합니다. 많은 경우, 정식 수사관들은 "긴급 데이터 요청(EDR)"이라는 것을 통해 공식적인 검토 절차를 생략하고 법원 승인 서류 제출 없이 데이터를 확보합니다. 만약 기술 기업들이 이러한 상황에서 요청자의 신원을 확인하지 않으면, 해커는 공격에 필요한 핵심 데이터를 손에 넣게 됩니다.

해커의 전략

해커들은 기업이 이러한 긴급 데이터 요청(EDR)을 받았을 때 그것이 합법적인지 여부를 신속하고 쉽게 확인할 방법이 없다는 점을 알아냈습니다. 해커들은 경찰 이메일 시스템이나 개인 계정에 무단으로 접근 하여 가짜 EDR 요청을 보내고, '이 데이터 요청을 즉시 처리하지 않으면 무고한 사람들이 고통받거나 사망할 가능성이 있습니다'라는 내용의 메시지를 함께 보냅니다.

이런 시나리오에서 수신 회사는 두 가지 결과 사이에서 난처한 처지에 빠지게 됩니다. EDR을 즉시 준수하지 못하면 누군가의 피가 손에 묻을 가능성이 있고, 고객 기록이 잘못된 사람에게 유출될 가능성도 있습니다.

상황을 더욱 복잡하게 만드는 것은 전 세계에 수만 개의 경찰 관할 구역이 있다는 점입니다. 미국에만 18,000 개가 넘는 경찰 관할 구역이 있기 때문에 해커들이 성공하려면 단 하나의 경찰 이메일 계정에 접근하는 것만으로도 충분합니다. 어떤 경우에는 전체 이메일 서버를 해킹하여 특정 경찰서에서 오가는 모든 이메일 트래픽에 접근하기도 합니다.

할 수있는 일은 무엇일까요?

워싱턴 D.C.의 의원들은 위조 법원 명령 방지 법안을 발의했습니다 . 이 법안은 현재의 전자 증거 기록(EDR) 발송 시스템을 개선하는 것을 목표로 하며, 모든 연방, 주, 부족 법원이 감시, 도메인 압수, 온라인 콘텐츠 삭제를 승인하는 명령에 디지털 서명을 사용하도록 의무화합니다. 디지털 서명은 암호화 기술을 사용하여 문서 및 기타 데이터의 진위성을 증명하는 기술로 , 민간 부문, 행정부, 입법부에서 널리 사용되고 있습니다. 또한, 이 법안은 주 및 부족 법원이 미국 국립표준기술연구소(NIST)에서 개발한 표준을 충족하는 널리 사용 가능한 디지털 서명 기술을 도입할 수 있도록 재정 지원을 제공합니다.

이와 같은 조치가 마련되고 시행될 때까지 회사에서는 다음과 같은 조치를 취해 이러한 데이터 요청의 적법성을 확인할 수 있습니다.

전화 기반 확인: 귀사의 데이터 보호 책임자(DPO) 또는 이와 유사한 직책에 있는 담당자는 요청을 하는 법 집행 기관을 조사하고, 요청자의 감독관 또는 부서에 전화하여 요청자의 신원과 요청의 유효성을 확인해야 합니다. 요청 양식이나 이메일에 있는 번호는 사기꾼이 도용할 수 있으므로, 정확한 기관의 전화번호를 조사하고 사용하지 않도록 주의해야 합니다.
정부 발행 서류의 직접 확인: 요청자는 신원 확인을 위해 정부 발급 신분증을 DPO에 직접 제출할 수 있습니다. 이러한 오프라인 방식은 정부 발급 신분증이나 서류 검토가 필요하지만, 법 집행 기관 사무실에 전화하여 요청 내용을 확인하는 것이 좋습니다. 이 방법은 법 집행 기관이 시간이 매우 중요하고 즉각적인 정보를 필요로 하는 경우에만 필요합니다.
공증인: 요청자는 회사 또는 정보보호책임자(DPO)에게 공증된 문서를 제공하여 신원을 확인할 수 있습니다. 이 방법을 사용하려면 공증인이 정부 발급 신분증 또는 문서를 검토하고 해당 내용을 서면으로 증명해야 합니다. 이상적으로는 이 방법을 위의 1번(전화 기반 확인)과 함께 사용하는 것이 좋습니다. 2요소 기반 신원 검증. 그러나 GDPR 또는 CCPA의 현재 프로토콜에 따르면 필수 사항은 아닙니다(필수 사항이며 CyberHoot vCISO 실무자들이 수행하는 작업입니다).

이 작업이 완료되면 요청의 진위 여부를 확인하기 위해 다음 항목을 검사하는 등의 추가 조치를 취할 수 있습니다.

이 요청에 대한 발신 이메일 주소가 정확하고 적절합니까(이러한 요청의 95%가 .gov 이메일 주소에서 왔습니다)?
정부 인장이 맞나요? 인장을 처음 보시는 거라면, 해당 기관의 인장을 구글에서 검색하여 확인해 보세요.
이러한 요청은 만료되므로 요청 날짜를 검토하여 여전히 유효한 SUBPOENA 및/또는 FISA 요청인지 확인하세요.

요청이 합법적이고 진짜라는 것이 확인되면 귀하의 조직은 조치를 취하고 필요에 따라 요청을 완료할 수 있습니다.

추가 사이버 보안 권장 사항

또한, 아래 권장 사항은 귀사와 귀하가 일상적으로 직면할 수 있는 다양한 위협으로부터 비즈니스를 안전하게 보호하는 데 도움이 될 것입니다. 아래 나열된 모든 제안은 CyberHoot의 vCISO 프로그램 개발 서비스를 통해 얻을 수 있습니다.

정책과 절차를 통해 직원을 관리하세요. 최소한 비밀번호 정책, 허용 가능한 사용 정책, 정보 처리 정책, 그리고 서면 정보 보안 프로그램(WISP)이 필요합니다.
직원들에게 발견 방법과 피하는 방법에 대한 교육을 실시합니다. 피싱 공격CyberHoot과 같은 학습 관리 시스템을 도입하여 직원들에게 자신감, 생산성, 보안을 강화하는 데 필요한 기술을 가르치세요.
직원들에게 피싱 공격을 연습해 보세요. CyberHoot의 피싱 테스트를 통해 기업은 직원들에게 믿을 만한 피싱 공격을 테스트하고, 실패한 직원들에게는 시정 피싱 교육을 실시할 수 있습니다.
다음을 포함한 중요한 사이버 보안 기술을 배포합니다. 이중 인증 모든 중요 계정에 대해 이메일 스팸 필터링을 활성화하고, 백업을 검증하고, DNS 보호를 구축하세요. 안티 바이러스모든 엔드포인트에서 맬웨어 방지 기능을 제공합니다.
재택근무가 보편화된 현대 사회에서는 보안을 검증(패치, 바이러스 백신, DNS 보호 등)하거나 해당 기기의 사용을 전면적으로 금지하여 네트워크에 연결된 개인 기기를 효과적으로 관리해야 합니다.
지난 2년 동안 제3자로부터 위험 평가를 받지 않았다면, 지금 당장 받아야 합니다. 조직 내에 위험 관리 프레임워크를 구축하는 것은 한정된 시간과 비용으로 가장 심각한 위험을 해결하는 데 매우 중요합니다.
치명적인 사고 발생 시 안전을 보장하는 사이버 보험에 가입하세요. 사이버 보험은 자동차, 화재, 홍수, 생명 보험과 마찬가지로 가장 필요한 순간에 든든하게 지원해 드립니다.

이러한 모든 권장 사항은 CyberHoot 제품 또는 CyberHoot의 vCISO 서비스에 포함되어 있습니다. CyberHoot을 통해 직원을 관리, 교육, 평가 및 테스트할 수 있습니다. 지금 바로 CyberHoot.com을 방문하여 서비스에 가입하세요. 최소한 매월 발행되는 사이버 보안 뉴스레터를 구독하여 최신 사이버 보안 정보를 받아보세요.

출처 :

해커, 가짜 "긴급 데이터 요청" 통해 소환장 권한 획득

와이든, 틸리스, 화이트하우스, 위조 법원 명령에 맞서기 위한 양당 합의 법안 제출

추가 독서 과제 :

Apple, Meta, Discord 모두 사용자 데이터를 해커에게 넘겼습니다. 이제 어떻게 해야 할까요?

최근 블로그