Još jedno hapšenje u istrazi proboja FBI portala za zapošljavanje
FBI je 9. oktobra objavio da je uhapšen još jedan osumnjičeni saradnik grupe ShinyHunters, koju ta agencija smatra odgovornom za nedavni incident na portalu FBIjobs.gov. FBI nije otkrio identitet uhapšenog niti javno objavio optužnice, dok The New York Times i CBS News, pozivajući se na neimenovane izvore, navode da je reč o kanadskom državljaninu uhapšenom u Pensilvaniji.
ShinyHunters je u septembru saopštio da je kompromitovao FBI-jev portal za zapošljavanje i preuzeo osetljive podatke o gotovo svim agentima FBI-ja i kandidatima za posao. Analiza uzorka podataka koji je grupa podelila pokazala je obimne lične podatke zaposlenih, informacije o osetljivim radnim ulogama, kao i psihijatrijske i medicinske podatke.
Treće javno poznato hapšenje
Reuters novo hapšenje računa kao treće koje je javno obelodanjeno od objave incidenta krajem septembra. Holandska policija je 15. septembra, uz podršku FBI-ja, uhapsila 24-godišnjaka iz Amsterdama; FBI ga je u video-saopštenju opisao kao jednog od navodnih vođa grupe. Policija u Holandiji nije javno imenovala osumnjičenog niti u svom saopštenju pomenula FBI ili njegov portal.
Reuters je zatim, pozivajući se na izvore, objavio da je 29. septembra u Jordanu priveden još jedan osumnjičeni. Jordanjski državni mediji potvrdili su hapšenje bez navođenja imena, a Reutersovi izvori rekli su da osumnjičeni sarađuje s FBI-jem. FBI nije rekao da li je poslednje hapšenje u Pensilvaniji rezultat te saradnje, a CBS News navodi da su drugi osumnjičeni i dalje na slobodi.
Propust u zakrpama kod spoljnog izvođača
Prema nalazima FBI-ja, proboj je posledica bezbednosnog propusta na platformi kojom upravlja spoljna organizacija. Brett Leatherman, pomoćnik direktora FBI-jeve sajber-divizije, rekao je Reutersu da izvođač nije primenio bezbednosnu zakrpu koja je izričito izdata za zaštitu platforme. FBI je uklonio tog izvođača, ali nije imenovao ni platformu ni organizaciju.
Dva izvora Reutersa navela su da su u pitanju PeopleSoft, Oracleov softver za ljudske resurse, i Accenture. Accenture je rekao da je ponosan na podršku misiji FBI-ja, ali nije odgovorio na pitanja o izvođaču. Kontekst incidenta dopunjuje navodi ShinyHunters o pristupu preko Oracle PeopleSoft-a jer se u njemu razmatraju navodi ShinyHunters o pristupu preko Oracle PeopleSoft-a.
Operativna pouka za organizacije
FBI tvrdi da je ShinyHunters od prošle godine kompromitovao više od 140 organizacija i pribavio najmanje 70 miliona dolara kroz iznude. Grupa je saopštila da je FBI ciljala zbog majskog upozorenja za koje smatra da sadrži netačne tvrdnje o njoj.
Za kompanije je ključna praktična pouka da ugovorno poveravanje sistema trećoj strani ne uklanja odgovornost za kontrolu zakrpa. Potrebni su proverljivi rokovi za primenu kritičnih ispravki, nadzor nad njihovim izvršenjem i jasna evidencija odgovornosti, naročito kada platforme obrađuju kadrovske, zdravstvene ili druge osetljive podatke.