De FBI heeft een Accenture-aannemer verwijderd nadat vastgesteld werd dat het niet installeren van een beveiligingspatch heeft bijgedragen aan de recente inbreuk waarbij zeer gevoelige informatie over medewerkers van het bureau werd blootgelegd. Reuters said
De niet-geïdentificeerde aannemer was verantwoordelijk voor het onderhouden van een platform van derden dat de FBI ondersteunde. Volgens Brett Leatherman, hoofd van de FBI Cyber Division, heeft de aannemer nagelaten een beveiligingspatch te implementeren die specifiek was uitgebracht om het systeem te beschermen.
Bronnen die bekend zijn met het onderzoek identificeerden de getroffen software als Oracle PeopleSoft, een enterprise-platform dat wordt gebruikt voor personeelszaken en andere organisatorische functies. Ze identificeerden ook Accenture als de derde partij die het platform beheert.
Het incident hangt samen met de recente compromittering van FBIJobs.gov beweerd door de hackgroep ShinyHunters. De FBI zei aanvankelijk te onderzoeken of de inbraak afkomstig was van hun eigen omgeving of via een externe aanbieder.
ShinyHunters heeft gezegd dat het een kwetsbaarheid van PeopleSoft heeft uitgebuit om toegang te krijgen. De groep beweerde een grote verzameling informatie te hebben gestolen over huidige en voormalige FBI-medewerkers, hoewel de volledige hoeveelheid data die door de hackers is opgeëist niet onafhankelijk is bevestigd.
De informatie die in het incident werd blootgelegd is bijzonder gevoelig. Rapportages over monsters van de gestolen gegevens leverden gedetailleerde beschrijvingen op van het contraspionagewerk van medewerkers, huisadressen van menselijke inlichtingenagenten, en medische en psychiatrische informatie.
Oracle had in juni beveiligingsupdates vrijgegeven voor een PeopleSoft-kwetsbaarheid nadat aanvallen waren ontdekt die organisaties die de software gebruikten. Klanten werden opgeroepen om kritieke beveiligingsupdates zonder uitstel te installeren.
De FBI heeft niet precies bekendgemaakt wanneer het kwetsbare systeem had moeten worden bijgewerkt of hoe lang het blootgesteld bleef. Accenture zei trots te zijn op de FBI-missie te steunen, maar beantwoordde geen vragen over de aannemer of het vermeende falen van het toepassen van de patch.
Het bureau zegt dat het de aannemer heeft verwijderd en extra maatregelen heeft genomen om verdere risico’s te verminderen en werknemers te beschermen. Onderzoekers beoordelen nog steeds de gevolgen van het lek en bepalen de volledige omvang van de gecompromitteerde informatie.