駭客取得Google執法請求系統帳號

駭客組織Scattered Lapsus$ Hunters上周四（9/11）透過BreachForums駭客論壇張貼了一張截圖，宣稱它們取得了Google執法請求系統（Law Enforcement Request System，LERS）的帳號，隨後Google向BleepingComputer與The Register證實，的確在LERS系統上發現一個詐欺帳號，並已將它停用。

LERS允許經過驗證的執法人員提交合法的用戶資料申請，查看申請案件的處理狀態，以及下載Google所提供的回應資料；具備正式執法權力以及正在辦案的政府官員都可透過該系統提交申請。取得帳號代表駭客將能冒充警察或檢調機關，要求Google提供用戶的詳細資訊。

駭客展示的螢幕截圖顯示他收到了來自Google的郵件，證實已取得LERS帳號，Google還要求他在7天內建立個人密碼。不過，Google向媒體表示，此一帳號並未提出任何請求，也未存取任何資料，而且已被停用。

不過，Google並未揭露駭客是透過何種方式取得LERS帳號。

Scattered Lapsus$ Hunters是今年才出現的駭客組織，自稱成員分別來自Scattered Spider、ShinyHunters與Lapsus$等知名組織，主要手法之一為冒充IT人員，誘騙企業員工在電腦上啟用Salesforce Data Loader並登入公司帳號，再透過遠端軟體或竊取存取Token，以批次匯出Salesforce雲端中的客戶資料，受害企業涵蓋Google、Allianz、思科、Louis Vuitton、Tiffany & Co及Cloudflare等。