Un nuevo informe ha descubierto revelaciones condenatorias contra Meta y Apple, afirmando que las empresas entregaron datos confidenciales a piratas informáticos que se hicieron pasar por agentes de la ley en 2021. La información a la que se accedió incluye direcciones de usuarios, números de teléfono, direcciones IP, y otros. El informe afirma que los piratas informáticos utilizaron solicitudes de datos de emergencia falsificadas para engañar a Apple y Meta para que proporcionaran la información.
La revelación la hizo por primera vez Bloomberg (a través de Pocketnow), que detalla cómo los ciberdelincuentes engañaron a los gigantes de la industria tecnológica para que compartieran datos confidenciales de los usuarios. Es habitual que los funcionarios encargados de hacer cumplir la ley se comuniquen con las plataformas de redes sociales para rastrear a un sospechoso. La mayoría de tales solicitudes requieren una orden de allanamiento o citación. Sin embargo, las fuerzas del orden pueden omitir este proceso mediante una solicitud de datos de emergencia, que generalmente se considera urgente.
Los piratas informáticos entendieron claramente esta falla en el sistema y la aprovecharon al máximo. Pero el proceso no fue tan sencillo. Los atacantes primero se dirigieron a los correos electrónicos de los funcionarios encargados de hacer cumplir la ley y luego usaron estas credenciales para enviar solicitudes a las dos empresas. Aunque hay un sistema de verificación incorporado para este tipo de solicitudes, algunas se escabulleron.
Anuncio
El grupo de hackers Lapsus$ podría estar detrás de este ataque
No hay una respuesta definitiva sobre la persona. o grupo que lideró este ataque. Pero un informe de KrebsOnSecurity sugiere que el notorio grupo de extorsión de datos Lapsus$ podría ser el responsable. Lapsus$ también fue responsable de ataques de datos contra empresas como Microsoft, NVIDIA, Okta y Vodafone en el pasado. El informe señala que algunos miembros del grupo de piratas informáticos ahora disuelto, The Recursion Team, pueden haberse unido a Lapsus$.
En general, Apple respondió al 93 % de las 1162 solicitudes de datos de emergencia, mientras que Meta superó el 77 %. de las 21.500 solicitudes de datos. Según los informes, los piratas informáticos atacaron y recopilaron datos confidenciales durante al menos siete meses a partir de enero de 2021.
Un portavoz de Meta ofreció una declaración a The Verge, diciendo que la compañía revisa cada solicitud de datos para”suficiencia legal”y usos “Sistemas y procesos avanzados para validar solicitudes de aplicación de la ley y detectar abusos”.
Anuncio
“Bloqueamos las cuentas comprometidas conocidas para que no realicen solicitudes y trabajamos con las fuerzas del orden para responder a incidentes relacionados con solicitudes sospechosas de fraude, como lo hemos hecho en este caso”, dijo además el portavoz.
Apple también ofreció una declaración en respuesta a estas acusaciones. “Si una agencia gubernamental o policial busca datos de clientes en respuesta a una Solicitud de información de emergencia gubernamental y policial, se puede contactar a un supervisor del gobierno o agente policial que envió la Solicitud de información de emergencia gubernamental y policial y se le puede pedir que confirme Apple que la solicitud de emergencia era legítima”, dijo un portavoz de la compañía.