В ночь на вторник группа, называющая себя ShinyHunters, заявила, что взломала сайт трудоустройства ФБР (портал Apply.fbijobs.gov и связанную с ним систему подачи заявок для специальных агентов) и вынесла оттуда личные данные всех сотрудников бюро, бывших сотрудников и соискателей. На главной странице сайта хакеры оставили дефейс с надписью «этот сайт захвачен ShinyHunters». Официального подтверждения от ФБР на момент публикации не было, поэтому дальше разберём, что из заявленного подтверждается, а что остаётся словами хакеров на слово.
Что именно утверждают хакеры
По словам группы, они нашли уязвимость нулевого дня в Oracle PeopleSoft (эту систему ФБР использует для кадрового администрирования и обработки заявок на трудоустройство), и через неё получили доступ к серверам в AWS GovCloud, облачной инфраструктуре, которую американские госструктуры используют именно из-за более строгих требований к хранению чувствительных данных. Дальше, если верить заявлению, они просто скачали то, что там лежало: от 2 до 3 терабайт файлов с персональными данными действующих сотрудников, бывших сотрудников и соискателей на позицию специального агента.
Состав украденного, по описанию самих хакеров: имена, домашние адреса, номера телефонов, данные супругов и даты рождения. То есть именно тот набор, который нужен не для банковского мошенничества, а для физического преследования конкретного человека: знать, где он живёт и кто его близкие.
Что журналисты 404 Media смогли проверить сами
Хакеры прислали журналистам образец на 5000 записей. Часть номеров телефонов из этого образца прогнали через сервис OSINT-разведки OSINT Industries, и телефоны совпали с именами из файла, то есть выборка не выглядела рандомно сгенерированной. Отдельно, через инструмент Darkside, у части номеров нашлась привязка к сотрудникам Министерства юстиции США, в структуру которого как раз и входит ФБР. Это не доказывает подлинность всего объёма в 2–3 терабайта, но означает, что хотя бы часть образца состоит из реальных, действующих данных реальных людей, а не выдумана для привлечения внимания.
«Это не про деньги»
Отдельно стоит привести прямую цитату группы о мотивах, потому что она нетипична для вымогателей: по словам представителя ShinyHunters, атака «не финансово мотивирована», а то, что они планируют дальше, «не назвал бы вымогательством, скорее принуждением». Формулировка обтекаемая и явно рассчитана на медийный эффект, но она стоит того, чтобы её заметить: обычно ShinyHunters действуют по классической схеме: ломают цель, а затем угрожают публикацией данных, если не заплатят. Здесь группа заранее отказывается от привычной рамки «плати или сольём», оставляя простор для куда более неприятной интерпретации: контактных данных сотрудников и агентов ФБР с адресами и семьями можно добиваться не денег, а чего-то другого.
Почему это не первый звонок именно для ФБР
Утечки телефонных записей и персональных данных уже использовались против сотрудников бюро раньше: преступные группы отслеживали и преследовали агентов ФБР именно через слитые контактные данные, а не через взлом рабочих систем. Если нынешний набор данных реален хотя бы частично, он ложится в ту же логику: это не столько ущерб репутации ведомства, сколько готовый справочник для тех, у кого к конкретным агентам могут быть личные счёты.
Экспертный комментарий
Здесь стоит разделить два разных вопроса, которые в заголовках обычно сливают в один: «взломали ли ФБР» и «утекли ли реальные данные конкретных людей». Судя по имеющимся фактам, вероятнее правда второе, при том что первое до конца не подтверждено. ShinyHunters не обязательно пробили защиту самого бюро в классическом смысле, они могли добраться до вспомогательной кадровой системы на Oracle PeopleSoft, которая физически может стоять в облаке подрядчика и логически быть довольно далеко от оперативных систем ФБР. Для жертвы конкретного слитого номера телефона это различие не имеет значения. Для оценки реального масштаба инцидента это имеет значение, поэтому осторожная формулировка вроде «заявляют, что взломали» честнее эффектного заголовка.
Отдельно обращает на себя внимание сам вектор: уязвимость в Oracle PeopleSoft, довольно старом, но по-прежнему массово используемом ERP-продукте для управления персоналом. Такие системы редко получают то же внимание безопасников, что периметр или клиентские приложения, хотя именно в них лежат персональные и кадровые сведения, ради которых всё это и затевается. Прошлые волны атак на инфраструктуру Oracle в этом году, о которых мы уже писали, показывают ту же картину: удар приходится не по фасаду, а по системам, которые считаются служебными и потому реже проверяются.
Похожие случаи
Это далеко не первая волна атак на инфраструктуру Oracle в этом году: ранее мы разбирали сразу пять критических уязвимостей из каталога CISA, где Oracle и Microsoft оказались под прицелом одновременно. Логика та же: чем более «фоновой» и рутинной считается корпоративная система, тем меньше внимания ей достаётся от служб безопасности, и тем привлекательнее она для атакующих, которые это прекрасно понимают.
Что с этим делать
- Если в организации используется Oracle PeopleSoft или похожие HR- и ERP-системы, стоит отдельно и срочно проверить их периметр: такие системы часто выпадают из регулярного цикла тестирования именно потому, что считаются «внутренними».
- Провести аудит облачной инфраструктуры, если персональные данные сотрудников хранятся в облаке: нужно точно знать, кто и с каким уровнем доступа реально может добраться до этих данных, а не полагаться на репутацию облачного провайдера.
- Регулярно устраивать сканирование уязвимостей и пентест именно вспомогательных, «непубличных» систем: кадровых порталов, систем подачи заявок, внутренних ERP, потому что именно там чаще всего и находят вход, как в этом случае.
- Если у вас уже есть основания подозревать похожую утечку, начинать нужно с реагирования на инцидент, а не с публичных заявлений: сначала нужно понять реальный объём и источник утечки, а уже потом решать, что и как сообщать.