Un supuesto ataque contra el FBI

El grupo de ciberdelincuentes ShinyHunters asegura haber vulnerado sistemas del FBI mediante una vulnerabilidad de día cero en Oracle PeopleSoft y sustraído datos de todos los empleados y solicitantes de la agencia. La organización publicó la reclamación en su sitio de filtraciones y compartió una muestra con 404 Media, que difundió primero la historia.

La muestra incluiría información personal de 5.000 empleados del FBI: direcciones, números de teléfono, fechas de nacimiento y, en algunos casos, datos sobre cónyuges. El grupo también dice tener el nombre, rol, número de placa y datos personales de cada agente. La BBC afirmó haber visto una pequeña parte de los datos que parece auténtica, mientras que Reuters señaló que algunos incluyen detalles sobre asignaciones laborales, incluido trabajo sensible contra espías chinos, inteligencia rusa y cárteles de la droga.

Una respuesta al aviso del FBI

ShinyHunters dijo que el ataque no busca dinero, sino forzar al FBI a retirar o corregir un aviso público emitido el 15 de mayo. El grupo considera que el aviso contiene inexactitudes y se mostró ofendido por la descripción de sus tácticas. En ese aviso, el FBI describía a ShinyHunters como “actores de amenazas” que a menudo usan afirmaciones reales o exageradas de acceso a información para obtener pagos de las víctimas.

El grupo negó ser parte de “The Com” y rechazó las acusaciones de acosar a víctimas, de realizar ataques de swatting y de afirmar falsamente poseer material sensible. Dio al FBI una semana para corregir o eliminar el aviso; si no lo hace, publicaría las bases de datos completas.

La respuesta del FBI

El FBI dijo que investiga la denuncia. En un comunicado en X, aseguró que estaba “investigando el asunto de forma activa y agresiva” y que trabajaba con los proveedores externos que dan soporte a FBIJobs.gov para mitigar cualquier riesgo.

Un portavoz del FBI dijo a 404 Media que los atacantes aprovecharon la vulnerabilidad de día cero en PeopleSoft y luego se movieron a servidores de AWS GovCloud, donde habrían descargado entre 2 y 3 TB de datos. La agencia trata de determinar si la brecha afectó directamente sus sistemas o si ocurrió a través de un tercero.

Los sistemas señalados

Según ShinyHunters, la vulnerabilidad en el almacenamiento en la nube de Oracle usado por el FBI permitió acceder a varios sistemas:

  • FBIJOBS, el portal de empleo.
  • FBI BEAST, que hace comprobaciones de antecedentes de empleados y solicitantes.
  • FBI MedLink, que contiene historiales médicos de los agentes.
  • FBI BICS, que guarda información de investigaciones.

El grupo también desfiguró el sitio web de empleo del FBI el 22 de septiembre. Al momento de la publicación, el sitio seguía caído “por mantenimiento”.

PeopleSoft, un objetivo conocido

No sería la primera vez que el grupo ataca PeopleSoft. Entre mayo y junio, ShinyHunters aprovechó una vulnerabilidad de día cero en el componente Environment Management de PeopleSoft para atacar a decenas de instituciones educativas.

Steve Povolny, vicepresidente de estrategia de IA e investigación de seguridad en Exabeam, explicó que cuando el grupo quemó esa vulnerabilidad para golpear a más de 100 organizaciones, la mayoría universidades, luego dijo que su objetivo original era un servidor de PeopleSoft del FBI y que ese intento falló. Según Povolny:

El sector educativo fue un daño colateral de un disparo fallido contra la agencia. Tres meses después afirman tener una nueva vulnerabilidad de día cero en PeopleSoft. Eso apunta a un grupo que explota sistemáticamente plataformas ERP que contienen datos de recursos humanos, nóminas, solicitantes y salud.

Entre sus consejos a los clientes de PeopleSoft, Povolny recomendó asumir que el sistema fue comprometido, aplicar el parche de la vulnerabilidad anterior, desactivar el Environment Management Hub o eliminar la aplicación PSEMHUB y sacar de internet las interfaces de administración e integración. También aconsejó revisar WebLogic, directorios PSEMHUB y agentes de administración remota como MeshCentral, usado en junio como mando y control.

El FBI continúa investigando mientras trabaja con los proveedores externos que dan soporte a FBIJobs.gov para evaluar el alcance de la reclamación y mitigar riesgos.