ShinyHunters dice tener expedientes médicos de agentes del FBI

El grupo de extorsión ShinyHunters amplió el alcance de su reclamo contra el FBI: ahora asegura tener también evaluaciones psiquiátricas y expedientes clínicos del personal de la agencia, sacados de un sistema interno que el propio grupo llama MedLink. Antes, el grupo solo decía tener domicilios, números de teléfono y datos familiares de agentes y de aspirantes al puesto, según le contó a Reuters en un despacho publicado por GV Wire.

El FBI confirmó que investiga actividad no autorizada relacionada con su sitio de reclutamiento, fbijobs.gov, aunque no ha confirmado el alcance del robo ni se ha pronunciado sobre los expedientes médicos en particular, de acuerdo con TechCrunch.

El FBI tiene conocimiento de las denuncias sobre actividad no autorizada que afectó a FBIjobs.gov y está investigando el caso.

Según ShinyHunters, el punto de entrada fue una falla de día cero, es decir una vulnerabilidad que nadie fuera del atacante conocía y para la que todavía no hay parche público ni un identificador CVE, en un servidor de Oracle PeopleSoft, el sistema de recursos humanos que usa el sitio de empleos del FBI. Desde ese punto de entrada, según el grupo, los atacantes pasaron a servidores de AWS GovCloud donde estarían el sistema de verificación de antecedentes, MedLink y otro conectado al Sistema de Información de Justicia Criminal.

De esos documentos, Reuters alcanzó a revisar cerca de seis y confirmó parcialmente su origen: comparó un par de números de seguro social contra registros de burós de crédito, y contrastó la fecha de un examen psicológico previo a la contratación con el historial público en LinkedIn de un exempleado de la dependencia.

Lo que se sabe con cifras hasta ahora:

• El 22 de septiembre, un representante del grupo compartió con un medio un archivo con datos de unos 5 000 empleados del FBI.
• ShinyHunters afirma haber sustraído entre dos y tres terabytes de información, una cifra que ni el FBI ni Oracle han confirmado.
• No es el primer tropiezo de la agencia este año: en marzo ya se había reportado una intrusión distinta a sistemas de vigilancia de llamadas telefónicas del FBI.

Esta sección ya había reportado el reclamo inicial de ShinyHunters el 23 de septiembre, cuando el grupo pedía, de paso, que el FBI borrara un aviso de mayo que lo señalaba por recurrir al acoso, con amenazas y reportes falsos de emergencias. Eric O'Neill, exoperativo del FBI y hoy consultor de ciberseguridad, advirtió que un gobierno extranjero podría interesarse en el material: dijo a Reuters que no le sorprendería que una agencia de inteligencia rusa ya estuviera pidiendo "que se lo entreguen".

Ni el FBI ni Oracle han dicho cuándo cerrarán sus propias revisiones del caso, y ShinyHunters tampoco ha puesto fecha a la publicación completa de lo que dice tener. Hasta que alguna de las dos partes hable con cifras propias, lo único confirmado es que hay una investigación abierta sobre un sitio de empleo del gobierno estadounidense.