Виявлення шахрайських запитів DSAR

Що таке Виявлення шахрайських запитів DSAR?

Зловмисники подають запити на доступ до даних від чужого імені, щоб виманити персональні дані людини, і перетворюють право на приватність на лазівку для атаки. До скриньки DSAR надходить агресивний запит: у ньому вимагають протягом 24 годин видати дані клієнта, а надіслано його з особистої адреси електронної пошти, якої компанія раніше не бачила. Ви помічаєте вигаданий строк, незнайому адресу й погрози судом, перевіряєте запис клієнта, підтверджуєте особу через адресу, що вже є в базі, і повідомляєте про спробу як про інцидент безпеки.

Що ви дізнаєтесь у Виявлення шахрайських запитів DSAR

• Розпізнавайте в запитах DSAR тривожні ознаки соціальної інженерії або видавання себе за іншу особу
• Перевіряйте особу пропорційно: так, щоб виявляти шахрайство й не обтяжувати справжніх заявників
• Перевіряйте особу заявника за контактними даними, що вже є в базі, а не за тими, які вказано в самому запиті
• Документуйте шахрайський запит як інцидент безпеки, зазначаючи тривожні ознаки та виконані кроки перевірки
• Передавайте підозрілі запити DSAR на вищий рівень належними внутрішніми каналами, не порушуючи місячного строку відповіді

Виявлення шахрайських запитів DSAR — Кроки навчання

1. Вступ

   Сьогодні ви дізнаєтеся, як зловмисники користуються вимогами GDPR, щоб викрадати персональні дані шахрайськими запитами DSAR.

2. Термінове прохання

   Аліса починає ранок із перевірки скриньки DSAR. Серед звичайних запитів один лист одразу привертає її увагу: агресивний тон і термінова тема. Відправник називає себе Маркусом Томпсоном, вимагає всі персональні дані протягом 24 годин і погрожує судовим позовом.

3. Тривожна ознака: вигаданий строк

   Аліса одразу помічає, що з цим запитом щось не так. Відправник стверджує, що PrivacyFirst має відповісти за 24 години, і погрожує судом. Але Аліса пам'ятає з навчання з GDPR, що насправді строк відповіді інший.

4. Тривожна ознака: особиста пошта

   Аліса помічає ще одну підозрілу деталь: запит надійшов з особистої адреси Gmail, а не з корпоративної чи раніше зареєстрованої адреси. Для людини, яка називає себе чинним клієнтом, це дивно.

5. Тривожна ознака: агресивний тон

   Погрози і юридичний тиск у листі розраховані на те, щоб налякати Алісу й змусити її діяти поспіхом, оминаючи належні процедури перевірки. Такий емоційний тиск — класичний прийом соціальної інженерії.

6. Протокол перевірки

   Попри агресивний тон Аліса знає, що має дотримуватися процедур перевірки. Надіслати персональні дані неперевіреному заявникові — це вже саме по собі порушення захисту персональних даних за GDPR. Спершу вона перевіряє, чи є Маркус Томпсон у базі клієнтів і яку адресу електронної пошти там вказано.

7. Пошук запису клієнта

   Аліса відкриває базу клієнтів, щоб знайти Маркуса Томпсона. Якщо він справжній клієнт, у його записі буде зареєстрована адреса електронної пошти, і Аліса зможе перевірити, чи надійшов запит від власника облікового запису.

8. Важливе відкриття

   Пошук у базі показує головне: Маркус Томпсон справді є клієнтом, але його зареєстрована адреса — m.thompson@techcorp.com, зовсім не та адреса Gmail, з якої надійшов запит DSAR. Це підтверджує підозри Аліси: хтось намагається видати себе за справжнього клієнта, щоб викрасти його дані.

9. Запуск належної перевірки

   За внутрішнім протоколом компанії Аліса надсилає запит на підтвердження особи СПРАВЖНЬОМУ Маркусу Томпсону на його зареєстровану адресу m.thompson@techcorp.com, а не на адресу з підозрілого запиту. Так підтвердити особу зможе лише справжній клієнт.

10. Шахрай не проходить перевірку

    На запит про підтвердження особи, надісланий на m.thompson@techcorp.com, СПРАВЖНІЙ Маркус Томпсон відповідає розгублено й підтверджує, що жодного запиту DSAR не подавав. Тим часом зловмисник надсилає до скриньки DSAR дедалі агресивніші листи й вимагає пояснити, чому дані досі не надіслали.