Фейковые запросы личных данных

При помощи ложных запросов мошенники крадут персональные данные сотрудников ведущих компаний. Запросы руководству компаний отправляются от имени правоохранительных органов. Но реально схемой управляют преступные группировки. Они маскируются под представителей самых разных компетентных служб и запрашивают информацию, которую аналогичным образом запрашивают полиция, службы разведки и безопасности страны. Для получателей такие запросы являются чем-то обыденным, они постоянно с ними сталкиваются. Поэтому не раздумывая отвечают на заявки и выдают всё, что они них требуют. Эксперты называют это новым видом обмана — социальным хакингом. .

Известно, что в списке пострадавших от фиктивных полицейских запросов — гиганты Google, Twitter, Apple и другие. В США, например, преступники использовали хорошо известную систему экстренного запроса данных EDR. Согласно стандарту этой системы, такой запрос не нужно визировать у судьи, и он может быть направлен в любую компанию или соцсеть, чтобы быстро получить максимум информации о пользователе. По закону, компании могут не реагировать на запрос, на заверенный судебным органом, но на то и рассчитан хакинг с помощью социальной инженерии — запрос, как правило, исполняется.

Стандарт используются в экстренных случаях, когда речь идет о теракте, захвате банка и людей, о похищении детей. Этот факт хорошо известен в Америке, подобный стандарт «разрекламирован» кинематографом, потому сотрудники компаний редко задумываются об истинной цели, назначении и получателях запроса. Например, Apple в прошлом году получила свыше тысячи таких запросов. Информация была выдана на 94% заявок от фейковых служб, остальные не были удовлетворены по технических причинам. Расследование в США показало, что хакеры нашли дыры в почтовой сети управлений полиции, скопировали аналогичный запрос насчет личных данных персонала, скопировали электронную подпись к нему и использовали в своих целях.

Ответ на запрос, как правило, включает минимум информации — ФИО, электронный и домашний адрес, номер телефона, логин, рабочий и домашний IP. Для хакеров этого достаточно, чтобы проникнуть в компьютер, взломать аккаунт жертвы и получить всю остальную информацию, в том числе с хард-диска.

Правоохранители, участвующие в расследовании новых хакерских атак в США, делают неутешительные выводы: бороться с такой киберпреступностью и обезопасить себя пока невозможно. Единственный способ оградиться от вторжения в личное пространство — не иметь аккаунта в соцсети и не подключать компьютер с личной информацией к интернету, беспроводным сетям. Пока компаниям предлагают использовать систему вторичного подтверждения запросов и рекомендуют не передавать данные своих сотрудников по первому требованию, даже если запрос подписан руководством полицейского управления.