ShinyHunters tvrdí, že pronikli do FBI

Kybernetická vyděračská skupina známá jako ShinyHunters veřejně tvrdí, že pronikla do systémů patřících Federálnímu úřadu pro vyšetřování, jedné z nejsledovanějších donucovacích agentur na světě. Podle vlastních prohlášení skupiny mělo toto narušení vést k odcizení personálních údajů a údajů žadatelů, tedy informací, které by obvykle zahrnovaly jména, kontaktní údaje a další osobní záznamy spojené se zaměstnanci FBI a lidmi, kteří se ucházeli o práci v této agentuře.

FBI tato tvrzení uznala a uvedla, že případ vyšetřuje. V době psaní tohoto článku agentura nepotvrdila rozsah ani pravost dat, která ShinyHunters údajně získali. Tento rozdíl je důležitý: vyděračské skupiny často přehánějí, co získaly, nebo přebalují stará data, aby upoutaly pozornost a přiměly oběti k platbě. Přesto je tvrzení týkající se samotné FBI natolik neobvyklé, že si zaslouží bedlivou pozornost, bez ohledu na to, jak bude nakonec ověřeno.

Proč na tom záleží, i když jde jen o tvrzení

ShinyHunters není v oblasti úniků dat žádný nováček. Skupina byla tento rok spojována s řadou vysoce profilovaných incidentů, včetně narušení Floridského ministerstva pro bezpečnost na silnicích a motorová vozidla, které údajně odhalilo více než 200 000 záznamů, a útoku spojeného s chybou v softwaru Oracle, který zasáhl zdravotnického giganta Abbott a Národní asociaci komisařů pro pojišťovnictví. Tento vzorec naznačuje skupinu, která aktivně sondyje velké instituce kvůli slabinám, ať už prostřednictvím softwarových zranitelností, odhaleného cloudového úložiště nebo sociálního inženýrství.

Tvrzení zaměřené na FBI zapadá do známého scénáře: cílit na organizaci se symbolickou váhou, rychle zveřejnit narušení a nechat mediální pokrytí a veřejnou úzkost, aby část vyděračské práce udělaly dříve, než jsou fakta plně známa. To neznamená, že tvrzení je nepravdivé. Znamená to, že tvrzení samo je nástrojem a oddělení ověřených faktů od narativu poskytnutého skupinou vyžaduje čas.

Co dělá tento případ pozoruhodným, není jen cíl. Je to to, co vypovídá o současném stavu kybernetické bezpečnosti podniků v širším měřítku. Vládní agentury, nemocnice, pojišťovny a státní oddělení motorových vozidel se všechny staly cíli ve zhruba stejně krátkém časovém období. Pokud se organizace s prostředky a mandátem FBI může stát předmětem věrohodně znějícího tvrzení o narušení, podtrhuje to, že žádná instituce, veřejná ani soukromá, není imunní vůči špatně nakonfigurovaným systémům, phishingu nebo chybám softwaru třetích stran.

Co to znamená pro vládní data a soukromí jednotlivců

Je zde širší otázka, nad kterou stojí za to se pozastavit. Agentury jako FBI uchovávají obrovské množství citlivých informací, nejen o zaměstnancích a žadatelích, ale potenciálně také o vyšetřováních, informátorech a běžných občanech zahrnutých do federálních databází. Když se tvrzení o narušení dotkne takové agentury, vyvolává to oprávněné otázky o tom, jak dobře jsou tato data segmentována, šifrována a interně monitorována.

Pro běžného člověka tu vlastně nejde o konkrétní systémy FBI. Je to připomínka, že instituce, které žádají občany, aby jim svěřili citlivá data, ať už jde o vládní agentury, pojišťovny nebo poskytovatele zdravotní péče, jsou samy atraktivními a zranitelnými cíli. Případy jako narušení DentaQuest postihující více než 23 milionů lidí ukazují, že velikost neznamená bezpečnost. Svěřit organizaci svá data vždy neslo určité riziko; incidenty jako tento toto riziko jednoduše zviditelňují.

Co to znamená pro vás

Pokud jste zaměstnancem FBI, kontraktorem nebo uchazečem o zaměstnání, nebo prostě někým, koho zajímá, jak tvrzení o narušení, jako je toto, ovlivňují jeho osobu, existují konkrétní kroky, které stojí za to podniknout nyní, místo čekání na oficiální potvrzení:

  • Sledujte své úvěrové zprávy. Bezplatné roční úvěrové zprávy a průběžné služby monitorování úvěru mohou odhalit nové účty otevřené na vaše jméno.
  • Dávejte pozor na pokusy o phishing. Ukradená personální data se často používají k vytváření přesvědčivých následných podvodů, včetně falešných pracovních nabídek, falešné komunikace personálního oddělení nebo podvodných „ozdravných" služeb tvrdících, že dokážou získat vaše ukradená data zpět. Některé z těchto podvodů cílí konkrétně na oběti narušení, podobně jako taktiky popsané ve zprávách o falešných ozdravných ransomware podvodech.
  • Používejte správce hesel a jedinečná hesla pro všechny účty spojené s vládními zaměstnaneckými portály nebo přihláškami.
  • Zapněte vícefaktorové ověřování všude, kde je nabízeno, zejména pro e-mailové a finanční účty.
  • Zvažte zmrazení úvěru, pokud se domníváte, že mohlo dojít k odhalení vašeho rodného čísla nebo jiných citlivých identifikátorů.

VPN neodčiní narušení na straně serveru, jako je toto, protože k odhalení dochází na infrastruktuře organizace, nikoli na vašem zařízení. Ale šifrování vlastního internetového provozu a vyhýbání se veřejnému Wi-Fi pro citlivá přihlášení zůstává rozumným návykem, zejména když pokusy o phishing obvykle vrcholí v důsledku tvrzení o vysoce profilovaném narušení.

Závěr

Tvrzení ShinyHunters proti FBI není co do rozsahu potvrzeno, ale zapadá do širšího vzorce vyděračských skupin cílících po celý rok na velké instituce bohaté na data. Ať už každý detail tvrzení obstojí, nebo ne, incident je užitečným podnětem k přezkoumání vašich vlastních návyků osobní bezpečnosti: silná jedinečná hesla, aktivní monitorování úvěru a skepticismus vůči nevyžádaným zprávám odkazujícím na narušení. Zatímco FBI pokračuje ve vyšetřování, prioritní péče o vlastní datovou hygienu je tou jedinou částí tohoto příběhu, kterou můžete plně ovlivnit.