O FBI removeu um contratado da Accenture após determinar que a falta de instalação de um patch de segurança contribuiu para a recente violação que expôs informações altamente sensíveis sobre funcionários do bureau. Reuters said
O contratado não identificado era responsável por manter uma plataforma de terceiros que apoiava o FBI. Segundo o chefe da Divisão de Cibersegurança do FBI, Brett Leatherman, o contratado não implementou um patch de segurança que havia sido especificamente emitido para proteger o sistema.
Fontes familiarizadas com a investigação identificaram o software afetado como Oracle PeopleSoft, uma plataforma empresarial usada para recursos humanos e outras funções organizacionais. Eles também identificaram a Accenture como a organização terceirizada que gerencia a plataforma.
O incidente está ligado ao recente comprometimento de FBIJobs.gov reivindicado pelo grupo de hackers ShinyHunters. O FBI inicialmente disse que estava investigando se a invasão se originou em seu próprio ambiente ou por meio de um provedor terceirizado.
O ShinyHunters afirmou que explorou uma vulnerabilidade da PeopleSoft para obter acesso. O grupo alegou ter roubado uma grande coleção de informações envolvendo funcionários atuais e antigos do FBI, embora a quantidade total de dados reivindicados pelos hackers não tenha sido confirmada de forma independente.
As informações expostas no incidente são particularmente sensíveis. Relatos sobre amostras dos dados roubados encontraram descrições detalhadas do trabalho de contrainteligência dos funcionários, endereços residenciais associados a agentes de inteligência humana e informações médicas e psiquiátricas.
A Oracle havia lançado correções de segurança para uma vulnerabilidade da PeopleSoft em junho, após ataques direcionados a organizações que executavam o software terem sido descobertos. Os clientes foram incentivados a instalar atualizações críticas de segurança sem demora.
O FBI não divulgou exatamente quando o sistema vulnerável deveria ter sido atualizado ou por quanto tempo permaneceu exposto. A Accenture disse que continua orgulhosa de apoiar a missão do FBI, mas não respondeu perguntas sobre o contratado ou a suposta falha em aplicar o patch.
O órgão afirma que removeu o contratado e tomou medidas adicionais para reduzir riscos adicionais e proteger os funcionários. Os investigadores ainda estão avaliando as consequências da violação e determinando a extensão total das informações comprometidas.