Виявлення шахрайських запитів DSAR

Що таке Виявлення шахрайських запитів DSAR?

Зловмисники подають запити на доступ від чужого імені, щоб видобути дані цієї людини, і перетворюють право на приватність на лазівку. Агресивний запит з особистої електронної адреси, якої компанія раніше не бачила, вимагає видати дані клієнта протягом 24 годин і надходить до скриньки DSAR. Ви помічаєте хибний строк, незнайому адресу й судові погрози, перевіряєте запис клієнта, підтверджуєте особу через адресу, яка вже є в базі, і повідомляєте про спробу як про інцидент безпеки.

Що ви дізнаєтесь у Виявлення шахрайських запитів DSAR

• Розпізнавайте в запитах DSAR тривожні ознаки соціальної інженерії або видавання себе за іншу особу
• Застосовуйте пропорційні процедури перевірки особи, які виявляють шахрайство й не обтяжують справжніх заявників
• Перевіряйте особу заявника за контактними даними, які вже є в базі, а ніколи не за даними з самого запиту
• Документуйте шахрайський запит як інцидент безпеки: з тривожними ознаками та виконаними кроками перевірки
• Передавайте підозрілі запити DSAR відповідними внутрішніми каналами, не порушуючи місячного строку відповіді

Виявлення шахрайських запитів DSAR — Кроки навчання

1. Вступ

   Сьогодні ви дізнаєтеся, як зловмисники користуються положеннями GDPR, щоб викрадати персональні дані через шахрайські запити DSAR.

2. Термінове прохання

   Аліса починає ранок з перегляду скриньки DSAR. Серед звичайних запитів один лист одразу привертає її увагу агресивним тоном і терміновою темою. Лист нібито від Маркуса Томпсона вимагає видати всі персональні дані протягом 24 годин і погрожує судом.

3. Тривожна ознака: хибний строк

   Аліса одразу помічає, що з цим запитом щось не так. Відправник стверджує, що компанія PrivacyFirst має відповісти протягом 24 годин, і погрожує судом. Але Аліса пам'ятає з навчання з GDPR, що насправді строк відповіді інший.

4. Тривожна ознака: особиста пошта

   Аліса помічає ще одну підозрілу ознаку: запит надійшов з особистої адреси Gmail, а не з корпоративної чи зареєстрованої раніше електронної адреси. Для людини, яка називає себе наявним клієнтом, це незвично.

5. Тривожна ознака: агресивний тон

   Погрозливі вислови й судові погрози в листі розраховані на те, щоб залякати Алісу й змусити її діяти швидко, не виконуючи належних процедур перевірки. Ця емоційна маніпуляція — класичний прийом соціальної інженерії.

6. Протокол перевірки

   Попри агресивний тон Аліса знає, що має дотримуватися належних процедур перевірки. Передавши персональні дані неперевіреному заявникові, вона сама спричинила б порушення захисту персональних даних за GDPR. Перший її крок — з'ясувати, чи є Маркус Томпсон у базі клієнтів, і перевірити електронну адресу, яка в ній записана.

7. Пошук запису клієнта

   Аліса відкриває базу клієнтів, щоб знайти Маркуса Томпсона. Якщо він справжній клієнт, у його записі буде зареєстрована електронна адреса: за нею можна перевірити, чи надійшов запит DSAR від справжнього власника облікового запису.

8. Ключове відкриття

   Пошук у базі клієнтів дає вирішальні відомості: Маркус Томпсон СПРАВДІ є клієнтом, але його зареєстрована електронна адреса — m.thompson@techcorp.com, зовсім інша, ніж адреса Gmail, з якої надійшов запит DSAR. Це підтверджує підозри Аліси: хтось намагається видати себе за справжнього клієнта, щоб викрасти його дані.

9. Початок належної перевірки

   За протоколом компанії Аліса тепер надсилає запит на підтвердження особи справжньому Маркусові Томпсону на його зареєстровану адресу m.thompson@techcorp.com, а не на адресу з підозрілого запиту. Так підтвердити свою особу зможе лише справжній клієнт.

10. Шахрай не проходить перевірку

    На запит про підтвердження особи, надісланий на m.thompson@techcorp.com, СПРАВЖНІЙ Маркус Томпсон відповідає розгублено й підтверджує, що жодного запиту DSAR не подавав. Тим часом зловмисник надсилає до скриньки DSAR дедалі агресивніші повторні листи й вимагає пояснити, чому дані досі не надіслано.