El FBI dice que los piratas informáticos están enviando solicitudes fraudulentas de datos policiales a los gigantes tecnológicos para robar información privada de las personas
El FBI advierte que los piratas informáticos están obteniendo información privada de los usuarios (incluidos correos electrónicos y números de teléfono) de empresas tecnológicas con sede en Estados Unidos al comprometer las direcciones de correo electrónico del gobierno y la policía para enviar solicitudes de datos de “emergencia”.
El aviso público del FBI presentado esta semana es una rara admisión por parte del gobierno federal sobre la amenaza de solicitudes fraudulentas de datos de emergencia, un proceso legal diseñado para ayudar a la policía y a las autoridades federales a obtener información de las empresas para responder a amenazas inmediatas que afectan la vida o la propiedad de alguien. El abuso de las solicitudes de datos de emergencia no es nuevo y ha sido ampliamente denunciado en los últimos años. Ahora, el FBI advierte que vio un “aumento” alrededor de agosto en las publicaciones criminales en línea que anunciaban el acceso o la realización de solicitudes fraudulentas de datos de emergencia, y que se haría público para crear conciencia.
“Es probable que los ciberdelincuentes obtengan acceso a direcciones de correo electrónico comprometidas de gobiernos estadounidenses y extranjeros y las utilicen para realizar solicitudes fraudulentas de datos de emergencia a empresas con sede en EE. UU., exponiendo la información personal de los clientes a un uso posterior con fines delictivos”, se lee en el aviso del FBI.
La policía y las fuerzas del orden en Estados Unidos generalmente necesitan algún tipo de justificación legal para buscar y obtener acceso a datos privados que las empresas almacenan en sus servidores. Normalmente, para el contenido privado de una persona, como sus archivos, correos electrónicos o mensajes, la policía debe proporcionar pruebas suficientes de un posible delito antes de que un tribunal estadounidense emita una orden de registro que le permita solicitar esa información a una empresa privada. La policía puede emitir citaciones (que no requieren acudir a un tribunal) solicitando a las empresas acceder a cantidades limitadas de información sobre un usuario, como la información básica de su cuenta, como su nombre de usuario, inicios de sesión de la cuenta, direcciones de correo electrónico y números de teléfono, y a veces su ubicación aproximada.
También existen solicitudes de emergencia, un procedimiento en el que las fuerzas del orden pueden solicitar urgentemente a una empresa la información de una persona en caso de un riesgo inmediato, cuando no hay tiempo para solicitar una orden judicial.
Son estas solicitudes de emergencia de las que, según las autoridades federales, algunos ciberdelincuentes están abusando.
El FBI dijo en su aviso que había visto varias publicaciones públicas realizadas por ciberdelincuentes conocidos durante 2023 y 2024, alegando acceso a direcciones de correo electrónico utilizadas por las fuerzas del orden estadounidenses y algunos gobiernos extranjeros. El FBI dice que este acceso se utilizó en última instancia para enviar citaciones fraudulentas y otras demandas legales a empresas estadounidenses que buscaban datos privados de usuarios almacenados en sus sistemas.
El aviso decía que los ciberdelincuentes lograron hacerse pasar por agentes de la ley utilizando cuentas policiales comprometidas para enviar correos electrónicos a empresas que solicitaban datos de los usuarios. En algunos casos, las solicitudes citaban amenazas falsas, como acusaciones de trata de personas y, en un caso, que un individuo “sufriría mucho o moriría” a menos que la empresa en cuestión devolviera la información solicitada.
El FBI dijo que el acceso comprometido a las cuentas de las fuerzas del orden permitió a los piratas informáticos generar citaciones aparentemente legítimas que resultaron en que las empresas entregaran nombres de usuarios, correos electrónicos, números de teléfono y otra información privada sobre sus usuarios. Pero no todos los intentos fraudulentos de presentar solicitudes de datos de emergencia tuvieron éxito, afirmó el FBI.
Los ciberdelincuentes suelen utilizar los datos solicitados para acosar, hacer doxing y atacar a personas con planes de fraude financiero, según un informe de Bloomberg de 2022, que encontró en ese momento que los piratas informáticos habían obtenido información de usuarios de clientes de Apple, Facebook e Instagram, propietario de Meta. , mediante la presentación de solicitudes fraudulentas de datos de emergencia. Snap, el creador de Snapchat, y Discord también fueron atacados.
Apple, Google, Meta y Snap, que almacenan enormes cantidades de datos personales y privados de los clientes, reciben colectivamente decenas de miles de solicitudes de datos de emergencia cada año.
Bloomberg informó en 2022 que algunas de las solicitudes fraudulentas de datos de emergencia se remontan a principios de 2021 y fueron realizadas por grupos de adolescentes y adultos jóvenes, en su mayoría, como Recursion Team y, más tarde, Lapsus$, que luego piratearon algunas de las empresas más grandes del mundo, incluida Uber.
El FBI dijo en su aviso que las organizaciones encargadas de hacer cumplir la ley deberían tomar medidas para mejorar su postura de ciberseguridad para evitar intrusiones, incluidas contraseñas más seguras y autenticación multifactor. El FBI dijo que las empresas privadas “deberían aplicar un pensamiento crítico a cualquier solicitud de datos de emergencia recibida”, dado que los ciberdelincuentes “entienden la necesidad de exigencia”.