A nagy technológiai vállalatok sokat tesznek azért, hogy megóvják a felhasználóik adatait. Ez az ő érdekük is, hiszen az emberek nem megbízható szolgáltatásokat kevésbé szívesen használnak, azoknál általában nagyobb is a bizonytalanság. Viszont a hatóságok kérésére azért sokszor adnak ki információt, ha azok adatokat igényelnek, és ezen a ponton van a rendszerben egy óriási biztonsági rés, amit egyre többen használnak ki.
Folyamatosan növekedik azoknak a támadásoknak a száma, amikben a hackerek nem a rendszert próbálják meg feltörni, hanem az emberi munkaerőn igyekeznek kifogni, és a dolgozók megtévesztésére utaznak. Ennek az egyik módja az, hogy a kiberbűnözők hivatali dolgozóknak adják ki magukat. És most fény derült arra, hogy a Meta és az Apple is teljesített tavaly olyan adatigényléseket, amiket valójában hackerek kezdeményeztek.
Fontos, hogy azért ezt senki ne úgy képzelje el, hogy egy véletlenszerűen létrehozott e-mail címről érkező levélre válaszolt vissza az Apple vagy a Meta úgy, hogy minden kért adatot nótaszóval, friss mosollyal adott ki. A hackerek nem végeznek félmunkát, amikor szeretnék megtéveszteni az illetékes szakembereket, bonyolult műveletekkel, de tényleg hivatalos személynek tűnve igénylik az adatokat. (Persze valószínűleg az előbbi opció is felmerül alkalomadtán, de ezeket azért valószínűleg kiszűrik.)
A Bloomberg beszámolója szerint 2021 közepén történt az a konkrét eset, amit most felkapott a média. Ennek a „támadásnak” a keretében a szóban forgó vállalatok olyan érzékeny adatokat adtak ki illetékteleneknek adatigénylés során, amikkel a célba vett felhasználókat egyszerűen fel lehet kutatni.
Mind az Apple, mind pedig a Meta átadta a hatósági személynek tűnő hackernek a célszemély IP címét, telefonszámát, és egyebek mellett még az otthoni címét is.
A techcégeknek nagyon részletes előírásai vannak arra vonatkozóan, hogy milyen esetekben adhatnak ki adatokat. Ezt azonban értelemszerűen a hackerek is tudják már, így azzal is pontosan tisztában vannak, hogy miként lehet a leghatékonyabban eljárni, hogy célt érjenek. A hatóságok nyomozások alkalmával például kénytelenek hivatalos bírói végzést és/vagy házkutatási engedélyt felmutatni, viszont amennyiben vészhelyzetként hivatkoznak a dologra, abban az esetben ilyenekre nincs szükség. Vészhelyzet az, amikor emberéletek forognak kockán, és szó szerint minden perc számíthat.
Állítólag egyre sűrűbben történnek ilyen jellegű visszaélések a hackerek részéről, persze fontos, hogy ilyen esetekben nem a tömeges adatszerzés a cél, mint amikor például egy adatbázisnak a megszerzésére utaznak. Ilyenkor kifejezetten néhány fiókkal kapcsolatosan igyekeznek részletes információkat kapni. A művelet pedig a profin kivitelezett esetekben úgy megy, hogy a kiberbűnözők egy rendőrségi vagy egyéb hatósági rendszerhez szereznek hozzáférést, és a megfelelő levelezőrendszer feltörését követően indítható a vészhelyzeti adatigénylés.
A Krebs on Security számolt be legutóbb ilyen esetről. A biztonsági szakértők elmondták, hogy az sem ritka manapság, hogy hackerek eleve e-mail elérhetőségeket próbálnak értékesíteni a köreikben. Egy-egy kormányzati levelezőfióknak a hozzáférése sokat érhet azoknak a számára, akik egy ilyen adatigényléses támadással igyekeznek hozzájutni a legfontosabb felhasználói adatokhoz. A Krebs szerint az ilyen trükkökhöz sokszor fiatal hackerek folyamodnak, aki inkább a meggyőzőerejükkel, és nem a kiberbűnöző tudásokkal igyekeznek adathoz jutni.
Egyes feltételezések szerint a Lapsus$ hackercsoport vezetője is részt vehetett ilyen jellegű támadásban korábban. De a fentebb említett tavalyi esetben a Recursion Team nevű csoportnak sikerült adatokat igényelnie a Metától és az Apple-től. Állítólag 2021 januárjától több vállalatot is célba vettek ezek a hackerek, és amikor felbomlott a csapat, akkor néhányan más nevet használva csatlakoztak a Lapsus$-hoz, aminek a vezetőjét hasonló ügyekből ismerhették.
A mostani ügyre reagálva a Meta elmondta, hogy vannak arra külön eszközei, hogy a gyanús adatigényléseket kiszűrjék. És az Apple is arról beszélt a támadás kapcsán, hogy minden esetben egy szigorú protokoll szerint járnak el, és igyekeznek arról meggyőződni, hogy a veszélyhelyzeti adatigénylés megalapozott és valódi, adott esetben személyes megerősítést is kérnek már.
A kiberbűnözők célkeresztjében persze nemcsak ez a két vállalat szokott megjelenni, más cégekkel szemben is indítottak már ilyen jellegű támadásokat hackerek korábban, és minden bizonnyal olyan esetek is vannak, amikben ugyancsak sikerrel jártak. Dokumentált, hogy a Snap és a Discord is futott már bele ilyenbe.
