Segundo relatos, FBI declara "incidente de segurança cibernética" após violação

Segundo relatos, o FBI informou a seus agentes e à equipe de apoio que as informações pessoais deles foram roubadas em um ciberataque recente que teve como alvo o portal de candidatura a vagas do órgão — o primeiro reconhecimento do FBI de que informações pessoais de agentes foram roubadas na violação. O FBI não confirmou publicamente uma violação além de um comunicado da semana passada, no qual disse ter conhecimento de que um grupo de hackers alegou um ciberataque, mas que o roubo de dados ainda era “indeterminado”. Segundo relatou o repórter da MS NOW, Ken Dilanian, no fim de semana, o FBI declarou desde então um “incidente de segurança cibernética” em uma notificação interna, informando à equipe que seus nomes, endereços, cargos e números de Seguro Social foram expostos. Vários veículos confirmaram desde então que os dados roubados também incluíam informações médicas, entre elas registros relacionados a exames de sangue e urina e laudos psiquiátricos.

O grupo de hackers ShinyHunters já havia dito ao TechCrunch que possui “dados sobre praticamente todo o FBI”, incluindo uma quantidade “substancial” de informações sobre candidatos que se inscreveram pelo portal FBIJobs.gov. Os hackers disseram que invadiram o sistema explorando uma vulnerabilidade em um servidor Oracle PeopleSoft que hospeda informações de recursos humanos sobre agentes e candidatos. Eles disseram ao TechCrunch que não estão buscando um resgate financeiro, mas sim exigindo a correção de um relatório emitido anteriormente pelo FBI que, segundo eles, distorce suas atividades.

O especialista em segurança nacional Justin Sherman chamou a violação de “desastre de contrainteligência” para o governo dos EUA em um post no blog Lawfare, alertando que o roubo “exporia milhares de funcionários do FBI a perfilamento, phishing, abordagens de inteligência estrangeira e muito mais”.

Ainda não está claro se o FBI comunicou o incidente aos parlamentares responsáveis pela fiscalização do órgão. Segundo a lei federal, é obrigatório notificar o Congresso quando uma invasão atinge o patamar de “incidente grave” — como uma violação envolvendo o roubo de informações de identificação pessoal com “probabilidade de resultar em dano demonstrável” à segurança nacional dos EUA — e é provável que os advogados do órgão ainda estejam avaliando se esse patamar foi atingido. Se a divulgação for exigida, será a segunda notificação conhecida do FBI aos parlamentares sobre uma violação de dados neste ano, depois que hackers suspeitos de serem chineses invadiram, no início deste ano, um sistema de vigilância que expôs os alvos de vigilância e investigações do FBI. Porta-vozes do FBI e da Casa Branca não responderam a pedidos de comentário na segunda-feira, e o portal de vagas — o principal canal de candidatura do órgão desde 2017 — segue fora do ar.

Por que importa

Uma violação que expõe registros de funcionários do FBI, incluindo números de Seguro Social e dados médicos, é um risco de inteligência estrangeira e phishing que acompanha os agentes individualmente, não apenas um problema de TI para o órgão corrigir.