5,000件の流出記録がFBI人事データを秘密部門の地図に変えた

ShinyHuntersが盗んだと主張するデータは、FBI職員の連絡先以上のものを明らかにする。記者に渡された約5,000行の中には、端末へアクセスするツールを開発する秘密部門Remote Operations Unitに関する記録が3件あった。人事データベースが、機密能力の組織図へ変わったことになる。

3件の人事記録がFBIのhacking部門を指し示した

404 Mediaによると、サンプルには氏名、住所、電話番号、担当業務、一部では配偶者の情報も含まれていた。3件がRemote Operations Unitに言及していたとされるが、同社は氏名を公開していない。

FBIは、FBIJobs.govの侵害と職員の個人情報への影響に関する主張を調査中だと発表した。侵入口が第三者側かFBI内部かは未確定である。ShinyHuntersはOracle PeopleSoftの脆弱性を利用し、2から3 TBを取得したと主張するが、この部分は独立に確認されていない。

人事システムには住所や識別番号以上の価値がある

情報機関や組織犯罪にとって、役職、勤務地、私的な連絡先、家族関係の組み合わせは、単独のpasswordより価値が高い。脅迫、標的型phishing、監視の対象を選べるうえ、組織内部の構造も推測できる。

したがって影響は通常のidentity theftを超える。これまで公に知られていなかった人物を、FBIがdark webなどの捜査で使う技術と結び付ける可能性がある。

被害規模の大半は今も攻撃者側の説明に依存する

FBIは調査を認め、記者はサンプルの一部を公開情報と照合した。しかし2から3 TBという総量、侵入経路、databaseの完全性は未確認だ。5,000行の表だけで最終的な被害範囲は決められない。

保護措置とデータ悪用の有無が実害を示す

次に注目すべきは、FBIとOracleの発表、侵入口の特定、対象者への通知範囲、追加サンプルの公開だ。FBIが露出した職員を配置転換し、連絡先を変更し、人事地図が標的リストになる前に攻撃を検知できるかが防御力を測る。

Lilithの判定

攻撃者は秘密の部屋へ入らなくても、中にいる人を見つけられた。人事表1枚で、内部組織図はFBI職員を追跡し、圧力をかけたい者の時刻表に変わる。