O FBI afirma que está lidando com uma enorme violação de dados envolvendo informações sensíveis de seus funcionários, e prometeu ir atrás dos hackers que acredita serem responsáveis. A alegação do ShinyHunters sobre a violação de dados do FBI gerou ampla cobertura, mas vale a pena separar o que o bureau disse do que os supostos atacantes disseram. Este artigo faz isso e, em seguida, analisa o que o incidente sugere sobre bancos de dados centralizados e o que uma VPN pode e não pode fazer por você.

O que o FBI confirmou até agora

Segundo a reportagem da NPR, o FBI afirma que está lidando com uma enorme violação de dados e está comprometido em perseguir os hackers que acredita estarem por trás dela. O resumo da NPR não entra em detalhes sobre como a invasão aconteceu, quantas pessoas foram afetadas ou quem são os atacantes.

Outros veículos preencheram parte do quadro, embora muito disso venha dos supostos atacantes e não do FBI. A Politico relatou que o FBI disse estar investigando um suposto hack depois que um grupo criminoso cibernético chamado ShinyHunters alegou ter invadido seus sistemas. A Reuters relatou que dados de amostra pareciam incluir nomes, endereços e atribuições de funcionários do bureau. A Reuters relatou posteriormente a alegação do grupo de que havia roubado registros psiquiátricos e médicos de funcionários do FBI. O Register relatou uma alegação de mais de 2 TB de dados de funcionários.

Estas são alegações, e a reportagem pública que revisamos não verifica de forma independente a escala ou o conteúdo. Trate os números específicos e as categorias de dados como não confirmados até que o FBI diga o contrário.

Quem são os ShinyHunters e como operam

A Reuters descreve os ShinyHunters como um notório grupo de hackers. O Register relatou que o grupo disse que este ataque não teve motivação financeira e que queria que os federais respondessem de alguma forma. Um porta-voz também disse ao veículo: "É um jogo e é o mundo em que vivemos."

Esse enquadramento importa. Violações direcionadas aos próprios funcionários de uma agência de aplicação da lei representam um risco diferente de incidentes típicos motivados por resgate. Quando o objetivo declarado é pressão ou constrangimento em vez de pagamento, os dados roubados podem ser publicados ou usados contra indivíduos sem qualquer janela de negociação. Novamente, estas são declarações do próprio grupo, reportadas em segunda mão, e devem ser lidas com cautela.

O ex-chefe do Centro Nacional de Segurança Cibernética do Reino Unido, professor Ciaran Martin, disse à BBC que, se confirmada, a alegação era "tão séria quanto possível", segundo a cobertura da BBC.

Por que os bancos de dados centralizados continuam sendo um alvo

A lição mais ampla não depende de quem é ultimately culpado. As organizações coletam registros sensíveis em um pequeno número de sistemas porque é eficiente: arquivos de pessoal, endereços, atribuições, informações médicas. Essa eficiência também cria um prêmio único. Uma única invasão bem-sucedida pode expor milhares de pessoas de uma só vez, e essas pessoas não tiveram voz sobre quão bem o sistema foi defendido.

Para funcionários de agências sensíveis, a preocupação não é apenas o roubo de identidade. Nomes combinados com endereços e atribuições de trabalho podem possibilitar assédio, phishing ou engenharia social. É por isso que violações desse tipo são tratadas como mais do que um incidente comum de privacidade.

Agências federais têm emitido avisos semelhantes sobre ataques em larga escala em outros lugares. Nossa cobertura da atualização do ransomware Medusa, que afetou mais de 500 organizações, mostra como o FBI, a CISA e o HHS vêm instando as organizações a levar tais ameaças a sério. Um aviso conjunto separado de agências dos EUA, do Reino Unido e da Holanda sobre spyware iraniano controlado pelo Telegram é um lembrete de que a vigilância direcionada a indivíduos é uma preocupação paralela.

O que uma VPN pode e não pode proteger após uma violação

Uma VPN criptografa seu tráfego de internet entre seu dispositivo e o servidor VPN e oculta seu endereço IP dos sites que você visita. Isso é útil em Wi-Fi público e para limitar o que seu provedor de internet pode ver.

O que uma VPN não pode fazer é desfazer uma violação de um banco de dados mantido por outra pessoa. Se seus dados estão nos servidores de uma organização e esses servidores são comprometidos, seu método de conexão é irrelevante. Uma VPN também não impede e-mails de phishing, não impede que alguém use informações vazadas para se passar por você, nem protege suas contas se as senhas forem reutilizadas.

O que isso significa para você

A maioria dos leitores não é funcionária do FBI, então sua exposição direta a este incidente provavelmente é baixa. As lições práticas ainda se aplicam. Toda organização que guarda seus dados é uma violação em potencial, e você controla apenas as partes do seu lado: quão fortes são suas credenciais, quão cético você é em relação a mensagens inesperadas e quanta informação pessoal você fornece.

Se você é um funcionário federal atual ou ex-funcionário ou contratado, acompanhe as comunicações oficiais da sua agência para orientação, e desconfie de qualquer pessoa que entre em contato com você alegando estar conectada à investigação.

Lições práticas

  • Use um gerenciador de senhas e senhas únicas para cada conta.
  • Ative a autenticação multifator, de preferência com um aplicativo autenticador ou chave de hardware.
  • Seja cético em relação a e-mails, ligações ou mensagens de texto não solicitados que mencionem detalhes pessoais; os atacantes usam informações vazadas para parecerem críveis.
  • Compartilhe menos: limite as informações pessoais que você fornece a serviços que não precisam delas.
  • Use uma VPN para o que ela faz bem, como proteger o tráfego em redes não confiáveis, mas não a trate como proteção contra violações.
  • Aguarde confirmação oficial antes de agir com base nos números que circulam sobre este incidente.

A alegação do ShinyHunters sobre a violação de dados do FBI ainda está em desenvolvimento, e os detalhes podem mudar à medida que a investigação continua. Revise sua própria exposição e hábitos de segurança agora, antes que a próxima manchete torne isso urgente.