FBI-data på avveie? Dette hevder hackergruppen – og dette er fortsatt uklart

ShinyHunters hevder å ha fått tilgang til FBIjobs.gov og andre FBI-systemer og stjålet sensitive opplysninger om nåværende og tidligere ansatte og personer som har søkt jobb i FBI. Gruppen sier den sitter på 2–3 terabyte med data knyttet til FBI og det amerikanske justisdepartementet. Det tallet er ikke bekreftet av uavhengige kilder. 451

Dette har journalister fått se

Reuters har undersøkt dokumenter med sensitive psykiatriske og medisinske vurderinger. Byrået sier at noen av filene er delvis autentisert. 3 BBC har på sin side sett eksempler på helseundersøkelser knyttet til arbeidsevne, med blant annet blod- og urinprøveresultater og legenes notater. 4

Et regneark på rundt 5 000 linjer som Reuters undersøkte, beskrev ansattes arbeidsoppgaver, også arbeid knyttet til kinesiske spioner, russisk etterretning og narkotikakarteller. Materialet inneholdt dessuten personopplysninger som navn, adresser, telefonnumre, fødselsdatoer, amerikanske Social Security-numre og nødkontakter. 1

Hva er fortsatt uavklart?

Det som er undersøkt, bekrefter ikke at hackerne har 2–3 terabyte med data, at de har opplysninger om nesten alle FBI-ansatte og jobbsøkere, eller at de fikk tilgang til andre FBI-systemer enn den rapporterte aktiviteten rundt jobbportalen. 15

ShinyHunters har sagt at gruppen utnyttet en sårbarhet i Oracle PeopleSoft. Reuters har ikke kunnet bekrefte at dette var måten FBI-dataene ble hentet ut på. 3

FBI har sagt at det etterforsker påstander om uautorisert aktivitet knyttet til FBIjobs.gov, og har omtalt etterforskningen som aktiv og omfattende. Etaten har ikke bekreftet hele hackergruppens beskrivelse av hva som ble stjålet. 46 ShinyHunters har på sin side offentlig hevdet at gruppen har kompromittert FBI og sitter på sensitive opplysninger om ansatte og jobbsøkere. 11

Hvorfor kan dette være en sikkerhetsrisiko?

Opplysninger om ansattes oppgaver kan gjøre det lettere å identifisere personer som jobber med sensitive etterforskninger. Kombinert med helse- og personopplysninger kan materialet også potensielt brukes til å rette press, målrettede angrep eller forsøk på identitetstyveri mot ansatte. Det er en mulig risiko ved opplysningene som er beskrevet – ikke dokumentasjon på at noen allerede har brukt dem slik. 13