Un informe de Bloomberg señala que múltiples compañías tecnológicas habrían sido engañadas para entregar información confidencial de sus clientes, lo que permitió desplegar campañas de extorsión y acoso contra menores de edad.
Los actores de amenazas enviaron solicitudes legales fraudulentas a compañías como Meta, Apple, Google, Snapchat, Discord y Twitter haciéndose pasar por agentes de la ley. Cabe mencionar que la legislación estadounidense permite a los agentes policiales solicitar información bajo control de las compañías tecnológicas con fines legales en casos urgentes o en los que se considere que estos datos podrían ser evidencia importante.
Los datos obtenidos se usaron para atacar a mujeres y menores de forma muy específica; en algunos casos, las víctimas fueron presionadas para crear y compartir material sexualmente explícito, recibiendo fuertes amenazas si se negaban a cooperar con los criminales.
No se agregaron más detalles sobre la forma en que los datos fueron utilizados, aunque las fuerzas del orden y las empresas de tecnología siguen tratando de evaluar el alcance de este problema, que ha incrementado considerablemente durante los más recientes meses.
Fuentes cercanas a las compañías afectadas aseguran que es complicado para el personal que recibe estas solicitudes separar las solicitudes legítimas de los potenciales engaños, ya que en realidad no parece haber diferencias entre los mensajes enviados por los agentes y los usados por los cibercriminales.
Al respecto, el antiguo director de seguridad de Facebook Alex Stamos mencionó: “Sé que estas solicitudes de datos se utilizan en emergencias reales que pueden poner vidas en riesgo, y es trágico que se abuse de este mecanismo para dañar la integridad de los usuarios”.
Stamos cree que las agencias del orden deben implementar mejores mecanismos de autenticación para evitar el compromiso de sus cuentas de correo, evitando así el principal vector para este tipo de ataques. Además, corresponde a las compañías tecnológicas implementar políticas de confirmación como un mecanismo para filtrar solicitudes potencialmente maliciosas.
Un portavoz de Google dijo que la compañía descubrió una solicitud de datos fraudulenta en algún momento de 2021, asegurando que se identificó al posible responsable y se notificó a las fuerzas del orden: “Trabajamos activamente con las fuerzas del orden y otros actores en la industria para detectar solicitudes de datos ilegales”.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
