Виявлення шахрайських DSAR
Spot fake data access requests used for social engineering.
Що ви дізнаєтесь у Виявлення шахрайських DSAR
- Ідентифікувати тривожні ознаки в поданнях DSAR, що вказують на соціальну інженерію або імітацію особи
- Застосовувати пропорційні процедури верифікації особи, що виявляють шахрайство без обтяження законних заявників
- Коректно використовувати підстави статті 12(6) GDPR при відмові у явно необґрунтованих або надмірних запитах
- Документувати кроки верифікації та обґрунтування відмови, що витримують перевірку наглядового органу
- Ескалювати підозрілі DSAR через відповідні внутрішні канали, зберігаючи 30-денний графік відповіді
Виявлення шахрайських DSAR — Кроки навчання
-
вступ
Сьогодні ви дізнаєтесь, як зловмисники використовують правила GDPR, щоб викрасти особисті дані за допомогою шахрайських DSAR.
-
Терміновий запит
Аліса починає свій ранок з перевірки вхідної скриньки DSAR. Серед звичайних прохань один лист відразу привертає її увагу агресивним тоном і терміновою темою. В електронному листі стверджується, що він надійшов від «Маркуса Томпсона», вимагаючи надати всі особисті дані протягом 24 годин і погрожуючи судовим позовом.
-
Червоний прапор - помилкова шкала часу
Аліса одразу помічає щось не так у цьому запиті. Відправник стверджує, що PrivacyFirst має відповісти протягом 24 годин, погрожуючи судовим позовом. Але Аліса пам’ятає зі свого тренінгу GDPR, що фактичні терміни відповіді відрізняються.
-
Червоний прапор - особиста електронна пошта
Аліса помічає ще один підозрілий елемент — запит надійшов із особистої адреси Gmail, а не корпоративної чи попередньо зареєстрованої електронної пошти. Це незвично для тих, хто стверджує, що є наявним клієнтом.
-
Червоний прапор - агресивний тон
Погрози в електронному листі та юридичні погрози створені для того, щоб залякати Алісу та змусити її діяти швидко без дотримання належних процедур перевірки. Ця емоційна маніпуляція є класичною тактикою соціальної інженерії.
-
Протокол перевірки
Незважаючи на агресивний тон, Аліса знає, що вона повинна дотримуватися належних процедур перевірки. Надсилання особистих даних неперевіреному запитувачу саме по собі стане порушенням даних відповідно до GDPR. Її перший крок — перевірити, чи існує Маркус Томпсон у базі даних клієнтів, і перевірити зареєстровану електронну адресу.
-
Пошук записів клієнтів
Аліса отримує доступ до бази даних клієнтів, щоб знайти Маркуса Томпсона. Якщо він справжній клієнт, у його записі відображатиметься зареєстрована адреса електронної пошти, що дозволить їй перевірити, чи надійшов DSAR від фактичного власника облікового запису.
-
Критичне відкриття
Пошук клієнта відкриває важливу інформацію: Маркус Томпсон Є справжнім клієнтом, але його зареєстрована електронна адреса m.thompson@techcorp.com повністю відрізняється від адреси Gmail, з якої надіслано DSAR. Це підтверджує підозри Аліси - хтось намагається видати себе за реального клієнта, щоб викрасти його дані.
-
Початок належної перевірки
Відповідно до протоколу компанії, Аліса тепер надішле запит на перевірку REAL Маркусу Томпсону, використовуючи його зареєстровану електронну адресу m.thompson@techcorp.com, а не адресу, надану в підозрілому запиті. Це гарантує, що лише фактичний клієнт може підтвердити свою особу.
-
Шахрай пройшов перевірку
Запит на перевірку на адресу m.thompson@techcorp.com отримує плутану відповідь від СПРАВЖНЬОГО Маркуса Томпсона, який підтверджує, що він ніколи не робив жодного запиту DSAR. Тим часом зловмисник надсилає все більш агресивні подальші електронні листи на скриньку вхідних повідомлень DSAR, вимагаючи знати, чому дані не були надіслані.