Según un informe de Bloomberg , Apple y Meta (anteriormente Facebook) han entregado datos de clientes a piratas informáticos que se hicieron pasar por agentes de la ley. El informe cita a tres personas que están familiarizadas con el asunto.
La información que se proporcionó a los piratas informáticos incluía información básica sobre el usuario que incluye dirección, número de teléfono y dirección IP. La violación tuvo lugar a mediados de 2021 cuando los piratas informáticos falsificaron «solicitudes de datos de emergencia», que normalmente se envían con una orden de allanamiento o citación firmada por un juez. Este tipo de solicitudes no requieren una orden judicial cuando se presentan como emergencia, señala Bloomberg .
Otras compañías que incluyen a Snap (Snapchat) también recibieron solicitudes legales falsas de datos de usuarios, sin embargo, actualmente se desconoce si Snap cumplió con dichas solicitudes o no.
Los expertos en ciberseguridad creen que las solicitudes falsificadas podrían haber sido enviadas por un grupo de ciberdelincuencia conocido como Lapsus$, que consta de menores del Reino Unido y EE. UU. Se sabe que un miembro de este grupo ha pirateado previamente a grandes corporaciones, incluidas Microsoft, Nvidia y Samsung.
Cuando se le preguntó sobre el incidente, Apple remitió a Bloomberg a su sección de pautas de aplicación de la ley, que establece que se puede contactar al gobierno o al agente de la ley que envió una solicitud a Apple y se le puede pedir que confirme a Apple que la solicitud de emergencia es legítima.
Según personas familiarizadas con la consulta, se sabe que los datos de usuario adquiridos por piratas informáticos mediante solicitudes legales falsificadas se han utilizado para campañas de acoso. También se ha utilizado para facilitar esquemas de fraude financiero e intentar eludir la seguridad de la cuenta de un usuario.
Apple acepta solicitudes legales de datos de usuario en una dirección de correo electrónico de apple.com, «siempre que se transmita desde la dirección de correo electrónico oficial de la agencia solicitante», según las pautas legales de Apple.
Los piratas informáticos hicieron todo lo posible para que las solicitudes falsificadas parecieran legítimas. Esto incluye la falsificación de firmas de agentes del orden público y comprometer los sistemas de correo electrónico para el cumplimiento de la ley. El correo electrónico enviado a las empresas también provenía de dominios de correo electrónico pirateados que pertenecían a las fuerzas del orden en varios países.
Marcos Robson es redactor autónomo de Tech&Crumb y redacta los temas de seguridad, privacidad, libertad de información y cultura hacker (WikiLeaks y criptografía). Actualmente trabaja en en Nueva York (Wired).
