Problemas legales relacionados con ataques de phishing simulados [cerrado]

Question

Problemas legales relacionados con ataques de phishing simulados [cerrado]

#1 de schroeder (1 votos)
#2 de mootmoot (-1 votos)

-1

Estamos creando un servicio para uso tanto interno como para nuestros clientes utilizando GoPhish para probar el conocimiento de los usuarios sobre el phishing. Básicamente, los usuarios recibirán un correo electrónico de phishing y mediremos cuántos usuarios abren el correo electrónico, hacen clic en los enlaces y revelan información.

Tengo dos inquietudes desde una perspectiva legal (estamos en el Reino Unido y solo tenemos clientes en el Reino Unido).

1) Si armo un correo electrónico que parece provenir de Amazon, ¿podrían demandarme por usar su marca sin permiso?

2) Para llevar a cabo la campaña, deberemos almacenar los nombres de los usuarios, las direcciones de correo electrónico y otra información. Una vez que GDPR entre en vigencia, necesitaríamos el consentimiento para almacenar estos detalles (AFAIK), pero si le preguntamos al usuario primero, eso no es válido. ¿Hay alguna forma de evitar esta restricción?

phishing legal

pregunta Darren 22.08.2017 - 10:39

fuente

2 respuestas

Lea otras preguntas en las etiquetas phishing legal

Sitio que solicita una licencia de conducir al comprar artículos ¿El código C # que se ejecuta con PowerShell Add-Type activa el antivirus?

score 1 · Answer 1

Como autor de SelfPhish, puedo analizar algunas cosas que podrían ayudar sin ofrecer asesoramiento legal.

Usar el logotipo de una empresa sin permiso siempre es un problema. ¿Pero por qué usar el logo y el sitio de otra compañía? ¿Por qué no usar un sitio para el que puede obtener permiso? ¿Te gusta tu propio sitio o el sitio de tus clientes?
¿Cuál es tu objetivo? ¿No anunciará a los usuarios que los va a phishing? Si planea no hacer esto, de todos modos está en problemas desde un punto de vista educativo. No utilice el phishing como actividad depredadora; Debería ser una actividad de educación y sensibilización, y eso significa decirles lo que vas a hacer. Las sorpresas solo resultarán en problemas y quejas.

En general, no creo que haya pensado en este servicio y en lo que espera lograr. Si quieres mostrarles a los usuarios lo estúpidos que son, entonces estás en el camino correcto, pero el valor de esta actividad es dudoso. Debe tratar esto como una actividad educativa, y la educación requiere participación, no atrapamiento.

score -1 · Answer 2

No soy un experto en derecho. Pero le sugiero que revise las leyes y la ley de seguridad cibernética locales sobre "investigación", que podría renunciar a las responsabilidades, no al abuso de marca, sino a la simulación de phishing.

Haga que el phishing de Spear sea su criterio principal de phishing. Porque es un ataque explícito de ingeniería social objetivo.
Realice el phishing de marca conocida (por ejemplo, DHL, Amazon) como criterio secundario y sea creativo. No necesitas una página de phishing similar al 100%.