El grup de ciberdelinqüents ShinyHunters ha lliurat a ‘404 Media’ una mostra de 5.000 suposats treballadors de l’agència amb noms, telèfons, adreces i dades de familiars.

El conegut grup de pirates informàtics ShinyHunters assegura haver compromès diversos serveis de l’FBI i haver obtingut informació personal de pràcticament tots els empleats i candidats que han passat per l’agència, entre els quals hi ha noms i informació de membres de la Unitat d’Operacions Remotes (Remote Operations Unit), una unitat secreta d’aquest departament enfocada a ciberseguretat.

Els atacants asseguren que la intrusió es va produir com a represàlia a un informe publicat pel mateix organisme durant el segon trimestre en què descrivia les tàctiques atribuïdes a la banda i advertia les organitzacions que no paguessin les seves exigències. 

Al missatge dirigit a l’FBI, ShinyHunters reclama que l’oficina retiri o corregeixi aquest informe i sosté que les seves afirmacions sobre l’accés a les dades no són una fanfarronada.

També sosté que la informació compromesa inclou dades d’empleats actuals i antics, com també de persones que van sol·licitar treballar a l’FBI. Segons la seva descripció, no es tractaria únicament d’informació laboral, sinó també de dades personals potencialment sensibles.

El mitjà d’informació 404 Media ha tingut accés a una mostra d’uns 5.000 registres que contenen noms, números de telèfon, adreces físiques i, en alguns casos, informació relativa als cònjuges dels funcionaris públics.

404 Media ha realitzat comprovacions mitjançant eines d’intel·ligència de fonts obertes i bases de dades d’informació prèviament compromesa i ha trobat correspondències que apunten que alguns dels números de telèfon pertanyen efectivament a persones els noms de les quals apareixen als registres. També ha identificat números relacionats amb personal del Departament de Justícia dels Estats Units. 

L’agència, per part seva, ha confirmat que investiga una activitat no autoritzada relacionada amb la seva pàgina d’ocupació, tot i que no ha confirmat que els atacants hagin accedit a tots els sistemes o dades que asseguren haver robat.

El portal d’ocupació de l’FBI i el portal específic per a candidats a agents especials han aparegut temporalment com a no disponibles.

Abans d’aquesta confirmació, ShinyHunters havia arribat a modificar la pàgina d’ocupació de l’agència, i mostrar un missatge en què afirmava que el lloc havia estat «confiscat» pel grup. L’acció imitava les pàgines de confiscació que les mateixes autoritats estatunidenques fan servir habitualment quan prenen el control de llocs web vinculats a activitats delictives.

Hi van entrar així

Com s’hauria produït l’atac? Segons la versió proporcionada per ShinyHunters, els ciberdelinqüents van explotar una vulnerabilitat de dia zero a Oracle PeopleSoft, una plataforma empresarial utilitzada per gestionar informació administrativa i de recursos humans. 

L’actor d’amenaces afirma que aquesta vulnerabilitat els hauria permès accedir a infraestructura de l’FBI i posteriorment desplaçar-se fins a servidors d’AWS GovCloud, des d’on asseguren haver extret entre 2 i 3 terabytes d’informació. Aquesta part de la història no ha estat confirmada públicament ni per l’FBI ni per Oracle.

Els ciberdelinqüents es vanten que entre els serveis afectats hi ha sistemes relacionats amb justícia delictiva, recursos humans i Medlink, a més d’altres serveis interns.