Gekaapte politie-accounts verhandeld om privédata bij social media op te vragen
Criminelen verhandelen gekaapte e-mailaccounts van politieagenten om zo persoonlijke data van mensen bij socialmediabedrijven op te vragen. Dat laten Meta en TikTok tegenover 404 Media weten. Opsporings- en politiediensten moeten normaliter over een bevel beschikken om gegevens van gebruikers op te vragen. Het is echter ook mogelijk om een Emergency Disclosure Requests (EDR) in te dienen.
Het gaat dan om verzoeken die zonder juridisch proces worden ingediend en betrekking hebben op situaties waarbij personen fysiek gevaar lopen. De EDR-verzoeken kunnen vanaf het e-mailaccount van een individuele politieagent of rechercheur worden verstuurd. Vorig jaar bleek al dat criminelen misbruik van het proces maken door vanaf gekaapte e-mailaccounts frauduleuze EDR-verzoeken in te dienen. Onder andere Apple en Meta bleken op deze manier gegevens van hun gebruikers aan criminelen te hebben verstrekt.
Vorige maand meldde het Cyber Safety Review Board (CSRB) van het Amerikaanse ministerie van Homeland Security dat de Lapsus$-groep, die onder andere toegang wist te krijgen tot systemen van Microsoft, Samsung, Nvidia en Okta, zich bezighield met frauduleuze EDR-verzoeken. E-mailaccounts waarmee EDR-verzoeken zijn in te dienen zijn dan ook een geliefd doelwit en worden op internet verhandeld, meldt 404 Media. Socialmediabedrijven bevestigen dat ze met frauduleuze verzoeken te maken krijgen en die soms ook blokkeren, maar hoe groot het probleem precies is, is onduidelijk.
Socialmediabedrijven verstrekken je gegevens gewoon aan criminelen.
Niet met opzet maar uit pure onnozelheid.
Socialmediabedrijven verstrekken je gegevens gewoon aan criminelen.
Niet met opzet maar uit pure onnozelheid.
Aan de andere kant, als ze niet ingaan op die verzoeken krijgen ze ook problemen. Damned if you do, Damned if you don't.
het grootste probleem zit bij de opsporingsdiensten in dit geval. Zij moeten zorgen dat hun accounts niet misbruikt kunnen worden en dat dit ook effectief heel goed opgevolgd wordt.
Dan is de enige vorm van authorisatie dus het weten van een tweetal email adressen...
Dan is de enige vorm van authorisatie dus het weten van een tweetal email adressen...
Ja, maar een techbedrijf hoort te verifiëren en te dubbelchecken omdat zij als geen ander de oplichtingspraktijken van internetcriminelen zouden moeten kennen.
Mochten digitaal ondertekende mails gedoe opleveren, dan zouden in plaats daarvan digitaal ondertekende bijlagen kunnen worden gebruikt.
Indien men twijfelt aan de betrouwbaarheid van asymmetrische encryptie (bijv. i.v.m. quantum computers) zou op bovengenoemde website ook een lijst met cryptografische hashes van (evt. beperkt tot bijv. afgelopen 4 weken) geautoriseerde bijlagen kunnen worden gepubliceerd (of via een API opvraagbaar kunnen zijn).
Email is sterk een verouderd protocol en was nooit ontwikkeld met beveiliging in gedachten.
Email is sterk een verouderd protocol en was nooit ontwikkeld met beveiliging in gedachten.
Even een stapje hoger in de OSI stack: Heel TCP/IP v4 (en eerdere versies) is een verouderd protocol wat niet gemaakt is met beveiliging in gedachten!
Email is sterk een verouderd protocol en was nooit ontwikkeld met beveiliging in gedachten.
Even een stapje hoger in de OSI stack: Heel TCP/IP v4 (en eerdere versies) is een verouderd protocol wat niet gemaakt is met beveiliging in gedachten!
En daarom dat E2E mits goed geimplementeerd zo'n goed idee is! Mits je natuurlijk over genoeg controle van je endpoints beschikt.
Simpel gezegd, alles is onveilig als je er goed over na gaat denken. De nieuwsfeed van deze site is daar bevestiging genoeg voor. De digitale wereld is net zo onveilig als de fysieke wereld, alleen sta je digitaal veel sneller voor de voordeur vanaf een willekeurige plaats op de wereld.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
