Apple, Facebook ve Discord, Kullanıcı Verilerini Kendi Elleriyle Dolandırıcılara Vermiş

Bloomberg'in yeni bir haberine göre Apple, Facebook ve Discord, kullanıcı verilerini kolluk kuvvetleri görevlisi gibi davranan bilgisayar korsanlarına, kendi elleriyle teslim etti. Gerçek yasal talepler gibi görünmek için düzenlenmiş sahte taleplerin, "tehlikeye atılmış" meşru e-posta hesaplarından geldiği bildiriliyor.

Bloomberg'in söylediğine göre, hem Facebook hem de Apple "müşterinin adresi, telefon numarası ve IP adresi gibi temel abone ayrıntılarını" teslim etti. Krebs on Security'nin söylediğine göreyse Discord, "belirli bir telefon numarasına bağlı Discord hesaplarının İnternet adresi geçmişini" sağladı. Bilgisayar korsanları ayrıca Snap'i de hedef aldı, ancak şirketin istenen verileri gerçekten teslim edip etmediği henüz belli değil.

Bloomberg'in de belirttiği üzere, Apple ve Facebook gibi şirketlerin verileri kolluk kuvvetlerine teslim etmesi alışılmadık bir durum değil ve bu şirketlerin bu tür taleplere yanıt vermek için özel ekipleri var. Genel olarak, bu taleplere bir mahkeme emri eşlik etse de, birinin hayatının tehlikede olduğuna inanıldığı durumlar gibi bazı "acil" durumlarda kolluk kuvvetleri, mahkeme emri olmadan veri talep edebiliyor.

Bu olayda bilgisayar korsanları "finansal dolandırıcılık planlarını kolaylaştırmak" amacıyla belirli hedefler hakkındaki kişisel bilgilere erişmek için bu taktiği kullandılar. Meşru kolluk kuvvetleri personellerine bağlı ele geçirilmiş e-postaları kullanarak, şirketleri verileri teslim etmeleri için başarılı bir şekilde ikna etmeyi başardılar.

Meta sözcüsü Andy Stone, Bloomberg'e yaptığı açıklamada, şirketin yasal talepleri doğrulamak ve kötüye kullanımı tespit etmek için güvenlik önlemleri olduğunu söyledi. Stone, "Güvenliği ihlal edilmiş olduğu bilinen hesapların talepte bulunmasını engelliyoruz ve bu olayda yaptığımız gibi, şüpheli dolandırıcılık taleplerini içeren olaylara yanıt vermek için kolluk kuvvetleriyle birlikte çalışıyoruz" dedi.

Apple ve Snap de kullanıcı verileri taleplerinin meşruiyetini doğrulamak için politikaları olduğunu söyleyerek şirket yönergelerine dikkat çekti. Ancak taleplerin yasal kolluk kuvvetleriyle ilişkili e-postalardan geldiği görülüyorsa, bu önlemler yetersiz kalıyor gibi görünüyor.

Discord'un Krebs on Security'ye yaptığı açıklama şu şekilde: “Discord'un meşru bir kanun uygulama alanından talepler aldığını ve politikalarımıza uygun olarak taleplere uyduğunu onaylayabiliriz. Bu istekleri, gerçek bir kaynaktan geldiklerini kontrol ederek doğrularız ve bu durumda da bunu yaptık. Doğrulama sürecimiz, kolluk kuvvetleri hesabının kendisinin meşru olduğunu doğrularken, daha sonra, kötü niyetli bir aktör tarafından ele geçirildiğini öğrendik. O zamandan beri bu yasa dışı faaliyetle ilgili bir soruşturma yürüttük ve güvenliği ihlal edilen e-posta hesabı hakkında kolluk kuvvetlerine bilgi verdik.”