FBI a scos luni un contractor Accenture din proiect, din cauza rolului său într-o breșă de date care a expus detalii sensibile despre mii de angajați ai agenției. Informația vine de la două surse familiarizate cu dosarul, citate de Reuters. Mutarea apare într-un moment în care FBI încă încearcă să afle cât de adânc merg consecințele incidentului, pe care mai mulți foști oficiali ai agenției îl descriu drept o lovitură majoră pentru securitatea operațională a instituției.

Într-o declarație pentru Reuters, un oficial de rang înalt al FBI a confirmat că un contractor neidentificat nu a actualizat corect sistemul de care era responsabil. «Până acum, analiza noastră a stabilit că incidentul a fost rezultatul unei breșe de securitate a unei platforme administrate de o organizație terță, după ce un contractor nu a implementat un patch de securitate emis explicit pentru a proteja platforma», a spus Brett Leatherman, șeful diviziei cibernetice a FBI. El a adăugat că FBI a înlăturat contractorul și a luat toate măsurile necesare pentru a limita riscurile și a-și proteja angajații.

FBI nu a precizat despre ce platformă și ce organizație este vorba. Cele două surse spun însă că platforma este Oracle PeopleSoft, un sistem de resurse umane, iar organizația terță este Accenture. Gruparea de hackeri ShinyHunters a susținut luna trecută că a exploatat o vulnerabilitate din PeopleSoft pentru a pătrunde în site-ul de recrutare al FBI, intruziune despre care am scris pe larg în articolul „Am spart FBI-ul: hackerii ShinyHunters...” [[Am spart FBI-ul: hackerii ShinyHunters...]](4e4de596-19b1-46b0-b9b5-8171e2898326). Reuters nu a putut identifica contractorul vizat și nici nu a aflat care este acum statutul lui profesional. Oracle nu a răspuns imediat solicitării de comentarii.

Accenture a transmis că este «mândră să susțină misiunea FBI» și că va continua să o facă. Compania nu a răspuns însă la întrebările despre contractor sau despre presupusul patch ratat.

Cronologia explică de ce detaliul cu patch-ul contează. În iunie, Google a tras un semnal de alarmă în legătură cu o campanie de tip hack-and-extort atribuită ShinyHunters, țintind organizații care folosesc software PeopleSoft. În aceeași zi, Oracle a publicat o alertă de securitate care identifica o slăbiciune în PeopleSoft și oferea remedieri. Ambele companii au îndemnat organizațiile să aplice «fără întârziere» toate actualizările critice și alertele de securitate. Nici FBI, nici Reuters nu au confirmat însă că breșa de acum a folosit aceeași vulnerabilitate PeopleSoft semnalată în iunie, astfel că o legătură directă între cele două episoade rămâne neconfirmată.

Reuters nu a putut stabili dacă sau când cei responsabili de securizarea site-ului FBI au urmat aceste recomandări. Se știe doar că ShinyHunters a pus intruziunea pe seama unei vulnerabilități din PeopleSoft.

În lumea securității, patch-urile întârziate sunt o poveste veche și frustrantă. Aplicarea rapidă a actualizărilor e considerată o regulă de bază în apărarea rețelelor, dar procesul poate fi laborios și complicat, mai ales în cazul software-ului enterprise folosit de un număr mare de oameni. Tocmai de aceea o singură verigă care sare un pas poate deschide ușa pentru tot restul.

Prețul acestei verigi slabe este uriaș. Breșa a expus informații extrem de sensibile: descrieri detaliate ale joburilor de contrainformații ale unor angajați numiți, adresele agenților care lucrează cu surse umane, precum și dosare medicale și psihiatrice ale lucrătorilor din FBI. Pentru o agenție a cărei muncă depinde de anonimatul oamenilor ei, o astfel de scurgere nu e doar jenantă, ci poate pune în pericol vieți și operațiuni.

Există și o veste care ar putea limita pagubele. Săptămâna trecută, un suspect-cheie din dosarul ShinyHunters a fost reținut în Iordania, iar surse citate de Reuters spun că presupusul hacker cooperează cu autoritățile. Dacă e adevărat, FBI ar putea să înțeleagă mai exact ce a fost furat și să limiteze, în măsura posibilului, efectele.

Rămâne de văzut ce urmează pentru Accenture, una dintre cele mai mari firme de consultanță din lume, care are numeroase contracte cu guvernul american. Faptul că FBI a ales să comunice public că vina ține de un contractor și de un patch neaplicat trimite un semnal clar către toți furnizorii externi: externalizarea unei platforme nu externalizează și responsabilitatea. Iar când un singur pas de rutină e ratat, povestea nu mai ține de IT, ci de securitate națională.