Nagiging Problema ang Pekeng Emergency Search Warrant

I-secure ang iyong negosyo sa CyberHoot Ngayon!!!

Mag-sign Up Ngayon

Mayroong nakakabahala at lubos na epektibong diskarte na ginagamit na ngayon ng mga kriminal na hacker para kumuha ng sensitibong data ng customer mula sa Mga Internet Service Provider (ISP), mga kumpanya ng telepono, at mga kumpanya ng social media. Kasama sa diskarteng ito ang pagkompromiso sa mga email account at website na nauugnay sa mga departamento ng pulisya at ahensya ng gobyerno, at pagkatapos ay pagpapadala ng hindi awtorisadong "Mga Kahilingan sa Data ng Emergency" para sa data ng subscriber kung saan ang hiniling na impormasyon ay hindi makapaghintay ng utos ng hukuman dahil nauugnay ito sa mga usapin ng buhay at kamatayan.

Mga Kahilingan sa Emergency na Data

Sa United States, kapag ang mga ahensya ng pederal, estado, o lokal na nagpapatupad ng batas ay gustong makakuha ng impormasyon tungkol sa kung sino ang nagmamay-ari ng account sa isang social media firm, o kung ano ang tinutugunan ng Internet sa isang partikular na cell phone account na ginamit noon, dapat silang magsumite ng opisyal na warrant o subpoena na iniutos ng korte. Halos lahat ng pangunahing kumpanya ng teknolohiya at Internet Service Provider (ISP) ay may mga departamentong regular na nagsusuri at nagpoproseso ng mga naturang kahilingan. Ang mga naturang kahilingan ay ibinibigay lamang kapag naibigay na ang wastong dokumentasyon at ang pagkakakilanlan ng humihiling ay na-verify out-of-band (hindi mula sa email na humihiling ng data) bilang kabilang sa aktwal na departamento ng pulisya o ahensyang nagpapatupad ng batas.

Gayunpaman, tulad ng karamihan sa mga pag-atake sa phishing na lumilikha ng kritikal na pakiramdam ng pagkaapurahan sa pag-asang iyon ang magiging katalista para sa aksyon sa bahagi ng biktima, ang mga hacker ay humihiling ng data sa mga organisasyong ito na inaangkin na ang napipintong pinsala o kamatayan ay magreresulta mula sa hindi pagkilos. Kadalasan, ang mga lehitimong opisyal ng pag-iimbestiga ay gumagawa ng tinatawag na "Emergency Data Request" (EDR), na mahalagang lumalampas sa anumang opisyal na pagsusuri at hindi hinihiling sa humihiling na magbigay ng anumang mga dokumentong inaprubahan ng korte. Kung ang mga kumpanya ng teknolohiya ay hindi mag-validate sa humihiling sa ganitong mga pangyayari, ang hacker ang mananalo at makakakuha ng mahahalagang data na kinakailangan upang maisagawa ang kanilang mga pag-atake.

Ang Diskarte ng Hacker

Natuklasan ng mga hacker na walang mabilis at madaling paraan para malaman ng isang kumpanyang nakatanggap ng isa sa mga EDR na ito kung ito ay lehitimo. Gamit ang hindi awtorisadong pag-access sa mga email system ng pulisya o mga indibidwal na account, magpapadala ang mga hacker ng pekeng kahilingan sa EDR kasama ang isang tala na nagsasabing 'may potensyal na magdusa o mamatay ang mga inosenteng tao maliban kung agad na maproseso ang kahilingan sa data na ito'.

Sa sitwasyong ito, napag-alaman ng tatanggap na kumpanya ang sarili na nasa pagitan ng dalawang resulta: hindi agad sumunod sa isang EDR at posibleng magkaroon ng dugo ng isang tao sa kanilang mga kamay, o posibleng mag-leak ng record ng customer sa maling tao.

Para mas maging kumplikado ang sitwasyon, mayroong sampu-sampung libong hurisdiksyon ng pulisya sa buong mundo. Dahil mahigit 18,000 ito sa Estados Unidos lamang, ang kailangan lang para magtagumpay ang mga hacker ay ma-access ang iisang email account ng pulisya. Sa ibang mga kaso, nilalabag nila ang buong email server at may access sa lahat ng trapiko ng email na nangyayari sa isang partikular na presinto.

Ano ang Maaaring Gawin?

Naghain ang mga mambabatas sa Washington, DC ng isang Panukalang Batas upang Labanan ang mga Pekeng Utos ng Korte na magpapabuti sa kasalukuyang sistema para sa pagpapadala ng mga EDR. Aatasan nito ang lahat ng pederal, estado, at tribong hukuman na gumamit ng digital na lagda para sa mga utos na nagpapahintulot sa pagmamatyag, pagsamsam ng domain, at pag-aalis ng online na nilalaman. Gumagamit ang mga digital na lagda ng teknolohiya ng pag-encrypt upang patunayan ang pagiging tunay ng mga dokumento at iba pang data, na malawakang ginagamit ng pribadong sektor, ehekutibo, at lehislatura. Ang panukalang batas ay nagbibigay ng pondo para sa mga korte ng estado at tribo upang gamitin ang malawakang magagamit na teknolohiya ng digital na lagda na nakakatugon sa mga pamantayang binuo ng National Institute of Standards and Technology.

Hanggang sa maisagawa at maipatupad ang ganoong bagay, may mga pagkilos na maaaring gawin ng iyong kumpanya para i-verify ang pagiging lehitimo ng mga kahilingan sa data na ito:

1. Pag-verify na Batay sa Telepono: Ang Data Protection Officer (DPO) ng iyong organisasyon, o isang taong nagtatrabaho sa katulad na tungkulin ay dapat magsaliksik sa ahensya ng Pagpapatupad ng Batas na gumagawa ng kahilingan, at tumawag sa telepono sa Supervisor o departamento ng Humihiling upang i-verify ang pagkakakilanlan ng humiling at ang bisa ng mismong kahilingan. Kailangang mag-ingat sa pagsasaliksik ng tamang numero ng telepono ng entity at huwag gumamit ng numerong makikita sa form ng kahilingan o email dahil pareho silang maaaring madaya ng isang manloloko.
2. In-Person Verification ng Dokumentaryo na Inisyu ng Pamahalaan: Ang isang humihiling ay maaaring magbigay ng ID na ibinigay ng gobyerno nang personal sa DPO upang patunayan ang kanilang pagkakakilanlan. Ang pamamaraang ito ng brick-and-mortar ay nangangailangan ng pagsusuri ng isang identification card o dokumento na ibinigay ng gobyerno, gayunpaman, palaging matalinong tawagan din ang tanggapan ng Mga Ahente ng Pagpapatupad ng Batas upang patunayan ang kahilingan. Ang pamamaraang ito ay kailangan lamang kung ang Law Enforcement Agent ay nangangailangan ng agarang impormasyon kung saan ang oras ay mahalaga.
3. Notaryo: Ang humihiling ay maaaring magbigay ng isang notarized na dokumento sa kumpanya o DPO upang patunayan ang kanilang pagkakakilanlan. Ang pamamaraang ito ay nangangailangan ng Notaryo na siyasatin ang isang kard ng pagkakakilanlan na ibinigay ng pamahalaan o dokumento at patunayan ang visual na inspeksyon na iyon sa pamamagitan ng sulat. Sa isip, ang paraang ito ay isasama sa #1 sa itaas – ibibigay ang pag-verify na nakabatay sa telepono two-factor-based pagpapatunay ng pagkakakilanlan. Gayunpaman, hindi ito kinakailangan batay sa kasalukuyang mga protocol sa loob ng GDPR o CCPA (bagama't ito ay dapat na AT ang ginagawa ng mga practitioner ng CyberHoot vCISO).

Kapag nagawa na ito, maaaring magsagawa ng mga karagdagang hakbang upang i-verify ang pagiging tunay ng kahilingan, kasama sa mga ito ang pagsisiyasat sa mga sumusunod na item: 

1. Ang pagpapadala ba ng email address para sa kahilingang ito ay tumpak at naaangkop (95% ng mga kahilingang ito ay nagmula sa isang .gov email address)?
2. Tama ba ang Government Seal? Kung ito ang unang pagkakataon na makakakita ka ng Seal, mangyaring i-Google ang Seal ng ahensyang iyon para sa sanggunian at pagpapatunay.
3. Suriin ang petsa ng kahilingan upang matiyak na ito ay isang wastong in-force na SUBPOENA at/o FISA na kahilingan dahil ang mga kahilingang ito ay mag-e-expire.

Kapag nakumpirma na ang kahilingan bilang lehitimo at totoo, maaaring kumilos ang iyong organisasyon at kumpletuhin ang kahilingan kung kinakailangan. 

Mga Karagdagang Rekomendasyon sa Cybersecurity

Bukod pa rito, ang mga rekomendasyong ito sa ibaba ay makakatulong sa iyo at sa iyong negosyo na manatiling ligtas laban sa iba't ibang banta na maaaring kaharapin mo sa araw-araw. Lahat ng mga mungkahing nakalista sa ibaba ay makukuha sa pamamagitan ng pagkuha ng mga serbisyo sa pagbuo ng vCISO Program ng CyberHoot.

1. Pamahalaan ang mga empleyado na may mga patakaran at pamamaraan. Kailangan mo ng isang patakaran sa password, isang katanggap-tanggap na patakaran sa paggamit, isang patakaran sa pangangasiwa ng impormasyon, at isang nakasulat na programa sa seguridad ng impormasyon (WISP) sa pinakamababa.
2. Sanayin ang mga empleyado kung paano makita at iwasan atake ng phishing. Mag-adopt ng Learning Management system tulad ng CyberHoot para ituro sa mga empleyado ang mga kasanayang kailangan nila para maging mas kumpiyansa, produktibo, at secure.
3. Subukan ang mga empleyado sa mga pag-atake ng Phishing upang magsanay. Ang pagsubok sa Phish ng CyberHoot ay nagbibigay-daan sa mga negosyo na subukan ang mga empleyado ng mga mapagkakatiwalaang pag-atake ng phishing at ilagay ang mga nabigo sa remedial na pagsasanay sa phish.
4. I-deploy ang kritikal na teknolohiya sa cybersecurity kasama ang dalawang-factor na pagpapatotoo sa lahat ng kritikal na account. Paganahin ang pag-filter ng SPAM ng email, patunayan ang mga backup, at i-deploy ang proteksyon ng DNS, antivirus, at anti-malware sa lahat ng iyong endpoint.
5. Sa modernong panahon ng Work-from-Home, tiyaking pinamamahalaan mo ang mga personal na device na kumokonekta sa iyong network sa pamamagitan ng pag-validate ng kanilang seguridad (pag-patch, antivirus, mga proteksyon ng DNS, atbp) o ganap na pagbabawal sa paggamit ng mga ito.
6. Kung hindi ka pa nagkaroon ng risk assessment ng isang 3rd party sa nakalipas na 2 taon, dapat ay mayroon ka na ngayon. Ang pagtatatag ng isang balangkas ng pamamahala sa peligro sa iyong organisasyon ay mahalaga sa pagtugon sa iyong mga pinakamatinding panganib sa iyong limitadong oras at pera.
7. Bumili ng Cyber-Insurance para protektahan ka sa isang sitwasyon ng kabiguan. Ang Cyber-Insurance ay walang pinagkaiba sa Car, Fire, Flood, o Life insurance. Nandiyan kapag kailangan mo ito.

Ang lahat ng mga rekomendasyong ito ay nakapaloob sa produkto ng CyberHoot o sa mga Serbisyo ng vCISO ng CyberHoot. Gamit ang CyberHoot, maaari mong pamahalaan, sanayin, suriin, at subukan ang iyong mga empleyado. Bisitahin ang CyberHoot.com at mag-sign up para sa aming mga serbisyo ngayon. Kahit papaano ay patuloy na matuto sa pamamagitan ng pag-enroll sa aming buwanang mga newsletter ng Cybersecurity upang manatiling updated sa mga kasalukuyang update sa cybersecurity.

Pinagmumulan:

Ang mga Hacker ay Nagkakaroon ng Kapangyarihan ng Subpoena Sa pamamagitan ng Pekeng "Mga Kahilingan sa Pang-emergency na Data"

Ipinakilala nina Wyden, Tillis at Whitehouse ang Bipartisan Bill Upang Labanan ang Mga Huwad na Utos ng Hukuman

Karagdagang Reading: 

Apple, Meta, at Discord Lahat ng Ibinigay na Data ng User sa Mga Hacker. Ngayon Ano?