Hackergruppen Shinyhunters säger sig ha personuppgifter om i stort sett hela FBI:s personal. Pengar vill gruppen inte ha. Kravet är att FBI inom en vecka ändrar en varning om gruppen. När Reuters kontrollerade ett urval tycktes uppgifterna stämma för bland andra FBI-chefen Kash Patel.
Hackare ger FBI sju dagar att dra tillbaka varning
Ultimatumet riktar sig till Kash Patel och Brett Leatherman, som leder FBI:s cyberdivision, enligt Nextgov/FCW. Det gäller en varning som FBI gick ut med den 15 maj, efter gruppens angrepp mot utbildningsplattformen Canvas.
I varningen beskrev FBI hur Shinyhunters pressar sina offer med hot mot dem och deras familjer. I vissa fall har gruppen enligt FBI ringt in falska larm som skickar beväpnad polis till offrens hem. Gruppen förnekar anklagelserna.
”Det här är INTE ekonomiskt motiverat”, säger en talesperson för gruppen till The Register.
Vad gruppen gör när veckan har gått vill den inte säga. Enligt BleepingComputer lämnade gruppen frågan obesvarad om datan kommer att läggas ut.
Stickprov pekar på äkta data
Gruppen uppger att den har mellan 2 och 3 terabyte data om nuvarande, tidigare och blivande anställda. Den mängden har ingen kunnat bekräfta, men stickproven pekar åt samma håll.
Nyhetsbyrån Reuters körde namnen mot kreditupplysningsregister och data från tidigare läckor. I minst tio fall, bland dem Kash Patels, tycktes uppgifterna stämma.
Nextgov/FCW fick en fil med knappt 5 000 anställda. Den innehöll hemadresser, telefonnummer och uppgifter om makar och syskon. Bland de anställda finns underrättelseanalytiker, jurister och specialagenter. Intrånget avslöjades först av nyhetssajten 404 Media.
FBI lämnar inga detaljer. ”FBI känner till uppgifterna om obehörig aktivitet som berör FBIjobs.gov och utreder dem”, säger myndigheten i ett uttalande.
Jobbportalen blev dörren in
Enligt gruppens egen version började angreppet på måndagskvällen amerikansk tid. Då utnyttjade gruppen en tidigare okänd lucka i Oracles personalsystem Peoplesoft, som enligt gruppen låg bakom FBI:s jobbportal. Därifrån tog den sig vidare till FBI:s servrar i GovCloud, Amazon Web Services särskilda moln för myndigheter.
Jobbportalen fick en ny startsida med gruppens logga och texten ”This site has been seized by Shinyhunters”. På tisdagen möttes besökarna av ett besked om schemalagt underhåll.
Oracle och Amazon har inte kommenterat uppgifterna offentligt. Att datan ska ha legat hos Amazon betyder inte att själva molnet har knäckts. Enligt gruppen var det FBI:s egen server som släppte in dem.
Bolag kan stå näst i tur
Det är säkerhetsluckan som oroar säkerhetsbranschen mest. Shinyhunters säger till BleepingComputer att samma metod nu används mot andra organisationer, bland dem bolag på Fortune 500-listan.
”Om Peoplesoft-luckan är äkta kan den vara värd mer än datan”, säger Dan Calderone, teknikchef på säkerhetsbolaget Suzu Labs, till Nextgov/FCW.
Han tror inte heller att gruppen saknar ekonomiska motiv. ”Jag har svårt att tro att terabyte av FBI:s personaldata bara blir liggande på en hylla”, säger han.
Cynthia Kaiser har tidigare arbetat på FBI:s cyberdivision och finns i dag på säkerhetsbolaget Halcyon. Hon tror att angreppet kan slå tillbaka mot gruppen. ”Att ge sig på andra kriminella grupper eller polisen, särskilt för att skämma ut dem offentligt, visar en brist på disciplin som historiskt har lett till tillslag, övertaganden eller avhopp”, säger hon till CyberScoop.
Samma dag stoppades Skatteverkets molnmejl
Uppgifterna om FBI kom samma dag som Skatteverket stoppade sin plan för Microsoftmejl. Från oktober skulle delar av myndighetens mejl gå via Exchange Online i stället för statens slutna nät. Polisen sa nej med hänvisning till säkerhetskraven. Under årets fem första månader skickades över 100 000 mejl mellan polisen och Skatteverket.
Stämmer gruppens version låg svagheten i FBI:s fall inte i molnet. Den låg i systemen som var kopplade till det.
Pressmedel mot agenter och familjer
Hemadresser till agenter och anhöriga är ett säkerhetsproblem i sig. Enligt TechCrunch kan främmande makter använda sådana uppgifter för att pressa FBI-anställda att samarbeta.
För vanliga konsumenter är mönstret välkänt. När 8,7 miljoner resenärers uppgifter lades ut efter angreppet mot Manchester Airports Group varnade experter för mer trovärdiga bluffmejl. I Revolut-fallet räckte en äkta myndighetsdomän för att banken lämnade ut passkopior.
AI gör jobbet enklare för bedragarna. Tjänsten EvilTokens pekade ut vem som gick att lura på de drabbade bolagen, innan två män greps i London. Gärningsmännen är ändå svåra att komma åt. I ett norskt fall lades fem polisanmälningar ned utan utredning.
