Apple (AAPL) e a Meta (FB) fornecem dados de usuários a hackers por engano

A Apple (AAPL) e a Meta (FB), a controladora do Facebook, forneceram dados de clientes a hackers que se passaram por autoridades policiais, de acordo com três pessoas com conhecimento do assunto.

As companhia forneceram detalhes básicos sobre assinantes, como endereço do cliente, número de telefone e endereço IP, em meados de 2021, em resposta a “solicitações de dados de emergência” falsas.

Normalmente, esses pedidos são fornecidos apenas com um mandado de busca ou intimação assinada por juiz, segundo as pessoas. No entanto, pedidos de emergência não precisam de ordem judicial.

A Snap recebeu uma solicitação legal falsa dos mesmos hackers, mas não se sabe se a empresa forneceu dados em resposta. Também não está claro quantas vezes as empresas forneceram dados induzidas por essas solicitações.

Pesquisadores de segurança cibernética suspeitam que alguns dos hackers que enviaram as solicitações são menores localizados no Reino Unido e nos EUA.

Um dos menores é suspeito de ser o mentor por trás do grupo de hackers Lapsus$, que violou a Microsoft, Samsung e Nvidia, entre outras, disseram as pessoas.

A polícia de Londres recentemente prendeu sete pessoas ligadas a uma investigação sobre o Lapsus$. O inquérito ainda está em andamento.

Um representante da Apple encaminhou a Bloomberg News a uma seção de suas diretrizes sobre aplicação da lei.

As diretrizes mencionadas pela Apple dizem que o supervisor do governo ou agente policial que envia uma solicitação “pode ser contatado e solicitado a confirmar à Apple se o pedido de emergência foi legítimo.”

“Revisamos todas as solicitações de dados para checar a conformidade com a lei e usamos sistemas e processos avançados para validar solicitações policiais e detectar abusos”, disse o porta-voz da Meta, Andy Stone, em comunicado.

A Snap disse que tem salvaguardas para detectar solicitações fraudulentas.

Autoridades policiais em todo o mundo pedem informações sobre usuários às plataformas de mídia social rotineiramente como parte de investigações criminais.

Nos EUA, esses pedidos geralmente incluem ordem assinada por juiz. Os pedidos de emergência são para casos de perigo iminente e não precisam da aprovação de um juiz.

Acredita-se que hackers afiliados a um grupo de crimes cibernéticos conhecido como “Recursion Team” estejam por trás de algumas das solicitações fraudulentas, de acordo com as três pessoas envolvidas na investigação.

O Recursion Team não está mais ativo, mas muitos de seus membros continuam realizando hacks com nomes diferentes, inclusive como parte do Lapsus$, disseram as pessoas.

As informações obtidas pelos hackers foram usadas em campanhas de assédio, de acordo com uma das pessoas a par do inquérito.

As três pessoas disseram que as informações podem ser usadas para facilitar esquemas de fraude financeira.