Le FBI affirme qu'il s'occupe d'une vaste violation de données impliquant les données sensibles de ses employés, et il a promis de s'en prendre aux pirates qu'il estime responsables. La revendication de ShinyHunters concernant la violation de données du FBI a fait l'objet d'une large couverture, mais il convient de distinguer ce que le bureau a déclaré de ce que les attaquants présumés ont affirmé. Cet article fait cette distinction, puis examine ce que l'incident suggère au sujet des bases de données centralisées et ce qu'un VPN peut et ne peut pas faire pour vous.

Ce que le FBI a confirmé jusqu'à présent

Selon les informations de NPR, le FBI affirme qu'il s'occupe d'une vaste violation de données et qu'il est déterminé à poursuivre les pirates qu'il estime être à l'origine de l'attaque. Le résumé de NPR n'entre pas dans les détails sur la manière dont l'intrusion s'est produite, sur le nombre de personnes concernées ou sur l'identité des attaquants.

D'autres médias ont complété une partie du tableau, bien qu'une grande partie provienne des attaquants présumés plutôt que du FBI. Politico a rapporté que le FBI avait déclaré enquêter sur un piratage présumé après qu'un groupe de cybercriminels appelé ShinyHunters a revendiqué avoir compromis ses systèmes. Reuters a rapporté que des échantillons de données semblaient inclure les noms, adresses et affectations d'employés du bureau. Reuters a ensuite rapporté la revendication du groupe selon laquelle il aurait dérobé des dossiers psychiatriques et médicaux du personnel du FBI. The Register a rapporté une revendication portant sur plus de 2 To de données d'employés.

Il s'agit de revendications, et les informations publiques que nous avons examinées ne vérifient pas de manière indépendante l'ampleur ou le contenu. Considérez les chiffres et catégories de données spécifiques comme non confirmés jusqu'à ce que le FBI déclare le contraire.

Qui sont les ShinyHunters et comment ils opèrent

Reuters décrit ShinyHunters comme une équipe de pirates notoire. The Register a rapporté que le groupe avait déclaré que cette attaque n'était pas motivée par des raisons financières et qu'il voulait que les fédéraux réagissent d'une manière ou d'une autre. Un porte-parole a également déclaré au média : « C'est un jeu et c'est le monde dans lequel nous vivons. »

Ce cadrage est important. Les violations visant le personnel d'une agence d'application de la loi représentent un risque différent des incidents typiques motivés par une rançon. Lorsque l'objectif déclaré est la pression ou l'humiliation plutôt que le paiement, les données volées peuvent être publiées ou utilisées contre des individus sans aucune fenêtre de négociation. Là encore, il s'agit des propres déclarations du groupe, rapportées de seconde main, et elles doivent être lues avec prudence.

L'ancien directeur du Centre national de cybersécurité du Royaume-Uni, le professeur Ciaran Martin, a déclaré à la BBC que si elle était confirmée, cette revendication était « aussi grave que possible », selon la couverture de la BBC.

Pourquoi les bases de données centralisées restent une cible

La leçon plus large ne dépend pas de l'identité du responsable final. Les organisations collectent des dossiers sensibles dans un petit nombre de systèmes parce que c'est efficace : dossiers du personnel, adresses, affectations, informations médicales. Cette efficacité crée aussi un prix unique. Une seule intrusion réussie peut exposer des milliers de personnes à la fois, et ces personnes n'ont eu aucun mot à dire sur la qualité de la défense du système.

Pour les employés d'agences sensibles, la préoccupation n'est pas seulement l'usurpation d'identité. Des noms associés à des adresses et à des affectations professionnelles peuvent permettre le harcèlement, l'hameçonnage ou l'ingénierie sociale. C'est pourquoi les violations de ce type sont traitées comme plus qu'un simple incident de confidentialité.

Les agences fédérales ont émis des avertissements similaires concernant des attaques à grande échelle ailleurs. Notre couverture de la mise à jour sur le rançongiciel Medusa, qui a touché plus de 500 organisations, montre comment le FBI, la CISA et le HHS ont exhorté les organisations à prendre ces menaces au sérieux. Un avertissement conjoint distinct des agences américaines, britanniques et néerlandaises concernant un logiciel espion iranien contrôlé via Telegram rappelle que la surveillance ciblée des individus est une préoccupation parallèle.

Ce qu'un VPN peut et ne peut pas protéger après une violation

Un VPN chiffre votre trafic internet entre votre appareil et le serveur VPN et masque votre adresse IP aux sites que vous consultez. C'est utile sur un Wi-Fi public et pour limiter ce que votre fournisseur d'accès internet peut voir.

Ce qu'un VPN ne peut pas faire, c'est annuler une violation d'une base de données détenue par quelqu'un d'autre. Si vos données se trouvent sur les serveurs d'une organisation et que ces serveurs sont compromis, votre méthode de connexion n'a aucune importance. Un VPN n'empêche pas non plus les courriels d'hameçonnage, n'empêche personne d'utiliser des informations divulguées pour se faire passer pour vous, et ne sécurise pas vos comptes si les mots de passe sont réutilisés.

Ce que cela signifie pour vous

La plupart des lecteurs ne sont pas des employés du FBI, donc votre exposition directe à cet incident est probablement faible. Les enseignements pratiques restent néanmoins valables. Chaque organisation qui détient vos données représente une violation potentielle, et vous ne contrôlez que les éléments de votre côté : la solidité de vos identifiants, votre degré de scepticisme face aux messages inattendus et la quantité d'informations personnelles que vous communiquez.

Si vous êtes un employé fédéral actuel ou ancien, ou un contractant, surveillez les communications officielles de votre agence pour obtenir des conseils, et méfiez-vous de toute personne qui vous contacte en prétendant être liée à l'enquête.

Mesures concrètes à prendre

  • Utilisez un gestionnaire de mots de passe et des mots de passe uniques pour chaque compte.
  • Activez l'authentification multifacteur, de préférence avec une application d'authentification ou une clé matérielle.
  • Soyez sceptique face aux courriels, appels ou textos non sollicités qui mentionnent des détails personnels ; les attaquants utilisent des informations divulguées pour paraître crédibles.
  • Partagez moins : limitez les informations personnelles que vous fournissez aux services qui n'en ont pas besoin.
  • Utilisez un VPN pour ce qu'il fait bien, comme protéger le trafic sur des réseaux non fiables, mais ne le considérez pas comme une protection contre les violations.
  • Attendez la confirmation officielle avant d'agir sur les chiffres qui circulent au sujet de cet incident.

La revendication de ShinyHunters concernant la violation de données du FBI est encore en cours de développement, et les détails peuvent changer à mesure que l'enquête se poursuit. Examinez dès maintenant votre propre exposition et vos habitudes en matière de sécurité, avant que le prochain titre ne rende cela urgent.