«Nous avons piraté le FBI»: voici ce que l'on sait de la cyberattaque
C'est une affirmation qui ne pourrait guère être plus explosive pour la grande agence de sécurité américaine: «Nous avons piraté le FBI», a indiqué un représentant du groupe de hackers baptisé «ShinyHunters» au média américain d'investigation 404 Media.
Le groupe affirme disposer des données volées «de tous les employés et candidats du FBI».
Quelles preuves existe-t-il de la cyberattaque?
Selon un article publié mardi, ShinyHunters a fourni aux journalistes de 404 Media un jeu de données contenant des informations sur environ 5000 employés présumés du FBI, en quelque sorte comme preuve de l'authenticité du piratage. Au total, environ 38 000 personnes travaillent au sein de la célèbre agence de sécurité.
Il n'est toutefois pas encore confirmé de manière indépendante quelle a réellement été l'ampleur du vol de données allégué, ni même s'il a eu lieu sous cette forme. Le FBI n'a dans un premier temps pas répondu à une demande de 404 Media. Les affirmations ne proviennent donc pour l'instant que des assaillants eux-mêmes.
Toujours selon 404 Media, les données remises, prétendument dérobées au FBI, contiendraient notamment les noms, adresses privées, numéros de téléphone et dates de naissance d'employés. Dans certains cas, des informations sur leurs conjoints y figureraient également. Les pirates affirment en outre avoir dérobé les données d'anciens employés ainsi que l'ensemble des informations relatives aux nouveaux candidats.
Sur la base de cet échantillon de données, 404 Media a vérifié une partie des informations à l'aide d'outils de recherche librement accessibles. Pour certains numéros de téléphone, des personnes portant les mêmes noms que ceux figurant dans les jeux de données ont ainsi été identifiées. D'autres vérifications ont montré, selon le média, que certains des numéros de téléphone fournis étaient liés à des employés du ministère américain de la justice.
Cela laisse penser qu'au moins une partie du jeu de données pourrait avoir une origine réelle. Cela ne prouve toutefois pas encore que l'ensemble des informations fournies par les pirates sont authentiques ni que tous les employés du FBI sont concernés.
Le portail de recrutement du FBI manipulé
Une attaque contre le site permettant de postuler au FBI fait également grand bruit. ShinyHunters aurait manipulé le site de recrutement du FBI et y aurait laissé un message selon lequel la page avait été «saisie» par le groupe de hackers.
Cette formulation fait référence aux mentions de saisie que les enquêteurs américains laissent eux-mêmes souvent sur des sites internet lorsqu'ils les mettent hors service dans le cadre d'enquêtes contre des cybercriminels. Au moment de la publication de l'article de 404 Media, le portail de recrutement du FBI ainsi que le portail de candidature pour les futurs Special Agents étaient inaccessibles.
Les pirates affirment avoir dérobé non seulement des données personnelles, mais aussi des informations médicales particulièrement protégées. Là encore, cela ne peut pas encore être confirmé de manière indépendante.
Un message de menaces adressé au FBI
Sur le site darknet de ShinyHunters, accessible via le réseau d'anonymisation Tor, figure depuis peu un communiqué public (en anglais: «PSA»):
Extrait du message:
Au deuxième trimestre de cette année, le Federal Bureau of Investigation (FBI) a formulé, dans un rapport FLASH, de graves accusations mensongères à l'encontre de notre organisation. Nous nous sentons profondément offensés par cela. (…)
Nous avons compromis le FBI. Nous disposons de données extrêmement sensibles sur pratiquement TOUS les agents du FBI et sur les personnes qui ont postulé à un emploi au FBI. Qu'il s'agisse d'un Special Agent ou d'un autre poste au sein de votre agence.»
Les rapports FLASH désignent les alertes du FBI concernant des menaces cyber et sécuritaires aiguës. Ils s'adressent aux entreprises, aux autorités et aux responsables de la sécurité informatique, et visent à contrer des cyberattaques et d'autres dangers imminents.
En mai, le FBI avait mis en garde, dans un document de ce type, contre ShinyHunters (SH). Il y était question d'une attaque contre des établissements d'enseignement américains.
Le FBI a donc publiquement accusé ShinyHunters d'être impliqué dans des attaques dites de «swatting», à savoir de faux appels d'urgence visant à envoyer des unités de police lourdement armées au domicile des victimes. Le FBI a en outre insinué que les membres de ShinyHunters entretenaient des liens étroits avec le réseau criminel en ligne «The Com».
ShinyHunters conteste vigoureusement ces accusations dans son message publié sur son site darknet et affirme que des imitateurs, dotés de compétences de piratage moindres, auraient usurpé leur nom.
Le groupe menace le FBI en ces termes:
Comment l'attaque a-t-elle pu se produire?
Selon ShinyHunters, l'intrusion numérique aurait été rendue possible par une faille de sécurité jusqu'alors inconnue (ce que l'on appelle un zero-day) dans le logiciel PeopleSoft d'Oracle (réd: un logiciel de gestion des ressources humaines et administratives).
Le groupe affirme avoir ainsi obtenu un accès à des serveurs au sein de l'environnement cloud étatique AWS GovCloud. Les pirates affirment avoir copié au total entre deux et trois téraoctets de données.
L'attaque ne serait donc pas nécessairement un problème propre au FBI. En effet, la faille «PeopleSoft» évoquée par ShinyHunters avait déjà été exploitée lors d'autres attaques. En juin de cette année, la National Association of Insurance Commissioners (NAIC) avait ainsi confirmé une attaque exploitant une faille critique dans PeopleSoft d'Oracle.
Des chercheurs en sécurité avaient alors également attribué cette campagne à ShinyHunters. Oracle avait publié dès juin une mise à jour d'urgence hors calendrier pour la faille en question. Les attaques auraient donc déjà commencé avant la publication du correctif.
Si les affirmations des pirates concernant le FBI venaient à se confirmer, la question se poserait alors de savoir si la même faille de sécurité avait également permis, dans ce cas, l'accès à des données sensibles.
Un danger pour les agents du FBI et leurs familles
Si l'ampleur du vol de données présumé venait à se confirmer, la situation deviendrait préoccupante. Les données volées seraient d'autant plus sensibles que les employés du FBI n'accomplissent pas uniquement des tâches administratives classiques. Les agents enquêtent sur le crime organisé, les réseaux terroristes, l'espionnage et les cybercriminels.
Leur identité et leur situation personnelle peuvent donc constituer en elles-mêmes un risque de sécurité. Des numéros de téléphone privés ou des adresses de domicile pourraient, par exemple, être utilisés pour faire pression sur des enquêteurs, les menacer ou localiser leurs familles. De telles informations personnelles volées, aussi complètes, pourraient également présenter un grand intérêt pour des services de renseignement étrangers, et donc constituer un risque pour la sécurité nationale des Etats-Unis.
404 Media évoque dans son article des cas antérieurs dans lesquels des cybercriminels ont utilisé des données de communication et des données téléphoniques volées pour identifier des enquêteurs du FBI et faire pression sur eux.
Les pirates parlent de «coercition»
Le groupe de hackers ShinyHunters est connu pour menacer de publier les données volées d'entreprises, d'organisations ou d'autorités après des intrusions réussies. Le groupe cherche généralement, par ce moyen, à obtenir une rançon.
Dans le cas du piratage du FBI, la stratégie semble toutefois différente. Interrogé sur la possibilité que le groupe cherche cette fois à faire chanter la police fédérale américaine, son représentant a répondu à 404 Media qu'il qualifierait plutôt cette démarche de «coercition», c'est-à-dire de contrainte. «Ce n'est pas motivé par l'argent», a résumé ce même représentant, selon l'article.
Cette exigence n'est pas motivée financièrement et ne constitue pas un chantage, a confirmé un acteur non identifié auprès du média américain BleepingComputer.
Un potentiel scandale sans précédent
Les pirates n'ont pas précisé ce qu'ils comptent exactement faire des données du FBI. Ils ont toutefois souligné disposer de bien plus d'informations que celles rendues publiques jusqu'à présent.
Une question essentielle reste donc pour l'instant sans réponse: s'agit-il de l'une des cyberattaques les plus graves jamais menées contre une agence fédérale américaine, ou d'une présentation exagérée par un groupe de hackers cherchant, par ses affirmations, à exercer une pression?
ShinyHunters affirme s'être profondément introduit dans l'infrastructure numérique du FBI. Si cela devait se confirmer, il s'agirait d'un scandale d'une ampleur inédite.
Le chef du FBI nommé par Donald Trump, Kash Patel, fait depuis longtemps l'objet de critiques, tant en interne qu'à l'extérieur. Sous sa direction, l'agence a en effet licencié, pour des motifs politiques, de nombreux employés dans le cadre de vastes mesures de réduction des effectifs et de restructurations au sein du ministère de la justice, ou les a poussés à partir via des programmes d'indemnités de départ. Le secteur cyber et informatique du FBI a également été touché.
(dsc/t-online)