Hackers engañan a tecnológicas como Apple y Google para obtener datos de usuarios

Gigantes tecnológicos como Apple, Meta, Alphabet (matriz de Google), Snap, Twitter y Discord fueron engañados por un grupo de hackers para proporcionar información personal de sus consumidores que, posteriormente, es utilizada para acosar y extorsionar a mujeres y menores.

Los ciberdelincuentes disponen de una nueva herramienta para obtener información personal que puede ser utilizada para el acoso y la extorsión, además de para sacar un beneficio económico por medio de la ingeniería social.

Esta nueva táctica permite a los atacantes hacerse pasar por agentes de la ley, según informa Bloomberg citando a fuentes implicadas en la investigación. El método, que ha empezado a ser usado con mayor insistencia en los últimos meses, engaña a las compañías y les envía una solicitud de datos de emergencia para acceder a la información personal de su base de usuarios suplantando a agencias policiales.

Una solicitud de datos de emergencia es un procedimiento utilizado por las fuerzas del orden en Estados Unidos para recabar información de compañías que proveen servicios alegando que se trata de una situación de emergencia, como la prevención de casos de suicidio, asesinato o secuestro, y no disponen de tiempo para presentar una citación.

Las empresas engañadas, entre las que están Apple, Meta, Alphabet, Snap, Twitter y Discord, no suelen tener obligación legal de proporcionar los datos requeridos ya que las solicitudes de emergencia no tienden a incluir una orden firmada por un juez. Sin embargo, suelen acceder a ello como gesto de ‘buena fe’.

El método empleado por los ciberdelincuentes varía, pero suele seguir un patrón que empieza con el hacker atacando el sistema de correo electrónico de una agencia de las fuerzas del orden extranjera.

Posteriormente, el atacante falsifica una solicitud de datos de emergencia, que envía a una empresa tecnológica para pedir información personal sobre la cuenta de un usuario. Los datos proporcionados varían según cada empresa. Por norma general, suelen incluir el nombre del usuario, su dirección IP, su correo electrónico y su domicilio.

Los principales objetivos de estos ciberdelincuentes son las mujeres y niños. En algunos casos, el atacante llega a presionarles para crear y compartir contenido sexual explícito amenazándoles con sufrir represalias si no acceden a sus deseos.

El exdirector de Seguridad de Facebook y ahora consultor, Alex Stamos, comenta al medio estadounidense que los departamentos policiales tendrán que centrarse en prevenir que se comprometan las cuentas de los usuarios. Para ello, propone una autenticación multifactorial y un “mejor análisis del comportamiento del usuario”.

Las tecnologías deberían, por su parte, “implementar una política de confirmación” mediante llamadas telefónicas, además de pedir a las fuerzas del orden que usen sus portales dedicados para detectar mejor posibles suplantaciones de cuentas.

Facebook reconoce no tener un manejo “adecuado” de los datos de sus usuarios

Facebook ha reconocido no tener un nivel “adecuado” de control sobre cómo sus sistemas usan los datos de sus millones de usuarios en todo el mundo y, por tanto, se ve incapaz de adherirse con total confianza al “tsunami” de cambios regulatorios que se han implantado en regiones como la Unión Europea (UE) y países como India o Corea del Sur.

Las compañías que basan parte de su actividad en la manipulación de los datos de sus usuarios, como Facebook, se han visto obligadas en los últimos años a afrontar los cambios regulatorios en materia de privacidad impuestos por algunas regiones.

En un documento interno de la compañía obtenido por Motherboard, la sección tecnológica del medio Vice, los ingenieros de privacidad en Facebook reconocen no tener “un nivel adecuado de control” y entendimiento sobre cómo sus sistemas utilizan los datos de sus usuarios.

*Con información de Europa Press.