Policías falsos robaron datos de usuarios de Meta y Apple

Foto: Pavlo Gonchar / SOPA Images / LightRocket (Getty Images)

El año pasado, los ciberdelincuentes utilizaron cotizaciones falsas de las fuerzas del orden para robar una cantidad desconocida de datos de usuarios de Apple y Meta. Las solicitudes de datos se enviaron a empresas de tecnología utilizando cuentas de correo electrónico de la policía pirateadas y, por lo tanto, parecían ser solicitudes gubernamentales legítimas.

Bloomberg relaciones que, a mediados de 2021, los dos gigantes tecnológicos fueron engañados para que entregaran una cantidad desconocida de “detalles básicos del suscriptor”, incluidas las direcciones de los usuarios, las direcciones IP y los números de teléfono. Snap Inc., la empresa propietaria de Snapchat, también recibió al menos una solicitud similar, pero no dijo si los datos se entregaron o no como resultado.

En este punto, no está claro exactamente cuántas solicitudes falsas se dirigieron a Apple y Meta y cuántos datos se entregaron. Nos comunicamos con ambas compañías para obtener comentarios y actualizaremos esta historia si responden.

En un comunicado proporcionado a Bloomberg, el portavoz de Meta, Andy Stone, informó al medio: “Revisamos cada solicitud de datos para verificar su suficiencia legal y utilizamos sistemas y procesos avanzados para validar las solicitudes de aplicación de la ley y detectar abusos”. Agregó: “Bloqueamos las cuentas comprometidas conocidas para que no hagan solicitudes y trabajamos con las fuerzas del orden público para responder a incidentes que involucran solicitudes fraudulentas sospechosas, como lo hicimos en este caso”.

Mientras tanto, un representante de Snap no pudo confirmar ni negar si los datos habían sido entregados, pero le dijo a Gizmodo que Snap tenía “protecciones” diseñadas para “detectar solicitudes fraudulentas de las fuerzas del orden, incluso de cuentas pirateadas”.

El martes, el bloguero de seguridad cibernética Brian Krebs dio a conocer la noticia de esta nueva y extraña tendencia en el delito cibernético, en la que los piratas informáticos utilizan sistemas de correo electrónico policiales comprometidos para enviar solicitudes de datos fraudulentos de “emergencia” a las empresas de tecnología. Cómo peticiones, conocidos como EDR, son utilizados por la policía en situaciones de vida o muerte sensibles al tiempo y no requieren una orden judicial. Por lo tanto, a diferencia de otras citaciones, los EDR no involucran revisiones internas profundas y las empresas están más dispuestas a entregar datos rápidamente si la solicitud proviene de una agencia de cumplimiento de la ley acreditada. Desafortunadamente, las credenciales de inicio de sesión de correo electrónico de la policía se pueden comprar con relativa facilidad en la web oscura, lo que hace que esta práctica no sea una gran tensión para los ciberdelincuentes capacitados.

En su blog, Krebs proporciona al menos ocurrió un caso específico de esto, durante el cual los piratas informáticos convencieron con éxito a la plataforma de chat Discord para que entregara los datos de los suscriptores a un usuario de Indiana de 18 años. Discord confirmó a Gizmodo que proporcionó información incorrectamente a un “actor malicioso” usando la cuenta de correo electrónico comprometida de un policía.

Una fuente de piratas informáticos también le dijo a Krebs que los ciberdelincuentes a menudo usarán los datos robados para cometer campañas de “acecho, piratería, acoso y humillación pública” contra sus víctimas.