Хакеры-подростки нашли новую схему мошенничества. В ЯНАО мошенники работают по-старинке
Обман без усилий
Экстренные запросы на предоставление данных (Emergency Data Request, EDR) — это обыденность для крупных технологических корпораций. Они часто получают такие запросы от правоохранителей в случаях, когда тем нужны данные немедленно, например, для предотвращения теракта, захвата заложников или похищения. На этот случай у провайдеров готова информация для полиции. Они отправляют контакты, адреса и другие данные без официальных ордеров, предполагая, что ситуация не терпит промедления.
В большинстве случаев компании удовлетворяют такие запросы. Агентство Bloomberg привело статистику: в июле–декабре 2020 года корпорация Apple получила 1,162 тысячи экстренных запросов и удовлетворила 93% из них. А компания Meta Platforms* удовлетворила 77% из 21,7 тысячи EDR в первом полугодии 2021-го.
Хакеры научились этим пользоваться. Они копируют типовые экстренные запросы, подделывают подписи реальных полицейских или даже выдумывают несуществующих и отправляют фальшивые EDR в технологические компании: Apple, Google, Discord и другие В большинстве случаев их запросы удовлетворяют, и мошенники получают желаемое.
Кто за этим стоит?
Сайт Krebs on Security выяснил, что этой схемой пользуются группировки хакеров-подростков Infinity Recursion и LAPSUS$. По всей видимости, их создал 14-летний подросток из Великобритании, который действует под ником Everlynn. В даркнете он предлагал свои услуги по предоставлению «требований и ордеров» и обещал передать информацию из любых правоохранительных органов. За один такой запрос Everlynn получал 100-200 долларов.
Хакерам удавалось выманить у провайдеров стандартный набор данных: имена и фамилии, адреса, номера телефонов, логичны в Сети и IP-адреса. Этой информации достаточно, чтобы взломать аккаунт или получить доступ к компьютеру. И ладно бы мошенники пользовались этим только для получения инсайдерской информации или кражи денег с банковских карт. Ситуация оказалась куда серьезнее: жертвами хакерских атак становились женщины и дети, которые попадали в зависимость от маньяков и педофилов.
Мошенники вынуждали своих жертв делать интимные фотографии или участвовать в сексуальных переписках с незнакомцами, шантажируя их раскрытием личной информации родным, учителям или в соцсетях. Также хакеры занимались буллингом своих жертв, они сливали их личные данные на сайты и призывали пользователей преследовать их и запугивать оскорбительными сообщениями.
Как бороться с мошенниками?
Мировые эксперты по кибербезопасности бьют тревогу, потому что эта мошенническая схема пока не поддается контролю. Потенциальные жертвы хакеров сами не могу обезопасить себя от них, а провайдеры не могут игнорировать экстренные запросы правоохранительных органов и тратить время на проверку подлинности запросов.
Никто не хочет, чтобы технологические компании отказывали законным экстренным запросам о предоставлении информации, когда под угрозой чья-то безопасность. Но нынешняя система имеет очевидные недостатки, на которые необходимо обратить внимание
Рон Уайден
сенатор США
Одной из мер решений может быть требование обязательной электронной подписи в EDR или создание системы дополнительных подтверждений. Но эти варианты недостаточно эффективны и не всегда возможны, поэтому действенное решение проблемы еще предстоит найти.
Обмануть не просто, а очень просто
В России преступники практикуют множество способов шантажа и вербовки детей в интернете. Подробнее >>>
Не менее часто россиянам поступают звонки якобы от представителей правоохранительных органов. Такая схема проще, чем с экстренными запросами, но не менее эффективна. Мошенник обращается к жертве напрямую, вводит ее в заблуждение и выманивает личные данные.
В апреле жительница Губкинского перевела злоумышленникам два миллиона рублей. Неизвестный позвонил ей и представился сотрудником полиции. Он сообщил, что по доверенности от ее имени якобы племянник женщины пытается снять более 60 тысяч рублей в банке. Женщина не поверила, но потом ей позвонили из банка и вынудили перевести деньги. Потом мошенники убедили жертву, что человек, который пытался снять деньги со счета женщины, оформил от ее имени кредит на два миллиона. В итоге потерпевшая взяла кредит и перевела деньги на неизвестный счет.
Уберечься от таких атак поможет только бдительность: звонки с неизвестных номеров лучше игнорировать, сообщения о попытках снять деньги нужно перепроверять в банках напрямую, а переводить средства на неизвестные счета нельзя.
*Meta Platforms — компания, признанная экстремистской, запрещена в России.