L’FBI ha rimosso un appaltatore Accenture dopo aver stabilito che la mancata installazione di una patch di sicurezza aveva contribuito alla recente violazione che ha rivelato informazioni altamente sensibili sui dipendenti dell’ufficio. Reuters said
Il contraente non identificato era responsabile della manutenzione di una piattaforma di terze parti a supporto dell’FBI. Secondo il capo della Divisione Cyber dell’FBI, Brett Leatherman, il contraente non ha implementato una patch di sicurezza specificamente emessa per proteggere il sistema.
Fonti a conoscenza dell’indagine hanno identificato il software interessato come Oracle PeopleSoft, una piattaforma aziendale utilizzata per le risorse umane e altre funzioni organizzative. Hanno inoltre identificato Accenture come l’organizzazione terza che gestisce la piattaforma.
L’incidente è collegato alla recente compromissione di FBIJobs.gov rivendicata dal gruppo di hacker ShinyHunters. L’FBI inizialmente aveva dichiarato di indagare se l’intrusione avesse avuto origine nel proprio ambiente o tramite un fornitore terzo.
ShinyHunters ha dichiarato di aver sfruttato una vulnerabilità di PeopleSoft per ottenere accesso. Il gruppo ha affermato di aver rubato una vasta raccolta di informazioni riguardanti attuali ed ex membri dell’FBI, anche se la quantità completa di dati rivendicati dagli hacker non è stata confermata in modo indipendente.
Le informazioni esposte nell’incidente sono particolarmente sensibili. Riportando i campioni dei dati rubati, si sono trovate descrizioni dettagliate del lavoro di controspionaggio dei dipendenti, indirizzi di casa associati a agenti dell’intelligence umana e informazioni mediche e psichiatriche.
Oracle aveva rilasciato correzioni di sicurezza per una vulnerabilità di PeopleSoft a giugno dopo che erano stati scoperti attacchi che miravano alle organizzazioni che utilizzavano il software. I clienti sono stati invitati a installare aggiornamenti di sicurezza critici senza indugio.
L’FBI non ha rivelato esattamente quando il sistema vulnerabile avrebbe dovuto essere aggiornato né per quanto tempo sia rimasto esposto. Accenture ha dichiarato di essere orgogliosa di sostenere la missione dell’FBI, ma non ha risposto a domande sul contraente o sulla presunta mancata applicazione della patch.
L’agenzia afferma di aver rimosso il contraente e adottato ulteriori misure per ridurre ulteriori rischi e proteggere i dipendenti. Gli investigatori stanno ancora valutando le conseguenze della violazione e determinando l’intera portata delle informazioni compromesse.