Könnyedén megszerzik a személyes adatokat a rendőrnek álcázott hackerek

2021 közepén az Apple és a Facebook azonnal kiadta egyes felhasználók adatait magukat rendőröknek kiadó hackereknek – derül ki a Bloomberg jelentéséből. Az említett céget nem csak az IP címet, de lakcímet és telefonszámot is megadtak olyan kérésre, amit a hatóságoktól érkező „vészhelyzeti adatigénylésként” kaptak. Az ilyen adatigényléshez nem szükséges házkutatási parancs vagy bármilyen bírósági ellenjegyzés.

A Snapchat üzenőszolgáltatást fenntartó Snap is kapott adatigényléssel kapcsolatban nem ismert, hogy adott-e ki felhasználói adatot. Az sem ismert továbbá, hogy az Apple és a Facebook hány esetben adott ki személyes adatokat.

Kiberbiztonsági szakemberek szerint ezt a kiskaput olyan hackercsoportok is kihasználták, mint a Recursion Team és annak utódja a Lapsu$. Lapsu$ egy kiskorúakból álló csoport volt, amelynek hét tagját nemrég tartóztatták le Londonban és egyebek között a Microsoft, Samsung, és Nvidia ellen hajtottak végre kibertámadásokat.

A személyes adatok kiadására ragálva az Apple a szabályzatára hivatkozott, amely szerint a hatósági adatigénylésekkel kapcsolatban adott esetben „megerősítést kérhetnek”, hogy valódiságuk felől megbizonyosodjanak. A Facebook anyacége, a Meta szóvivőjén keresztül közölte, hogy folyamatosan ellenőrzik az adatigényléseket és nem valós igénylők fiókját letiltják.

A személyes adatok átadása helyi hatóságoknak rutinszerűen történik, a vészhelyzeti adatigénylés pedig értelemszerűen olyan helyzetek megoldását szolgálja, amikor azonnali életveszéllyel járó helyzetben nincs idő igazságügyi jóváhagyásra. Ez a rendszer ténylegesen emberéleteket mentett és ment meg.

A Bloomberg jelentése szerint a Discord platform is elismerte, hogy kiadta a kért adatokat. Az üzenőplatform jelezte ugyanakkor, hogy meggyőződtek róla, hogy az igénylő legitim rendőrségi címről írt nekik, azt viszont nem sejtették, hogy a címet egy hacker használja.

A problémát tovább árnyalja, hogy miközben nincs központi megoldás az ilyen kérések biztonságos kezelésére, a feltört rendőrségi e-mail fiókokat 10-50 dolláros áron lehet megvásárolni a darkweben.

(Bloomberg)