El FBI investiga un incidente de ciberseguridad que afecta a su portal de empleo después de que ShinyHunters asegurara haber accedido a sus sistemas y robado información sensible de empleados y candidatos. El grupo afirma que consiguió entrar aprovechando una vulnerabilidad desconocida hasta ahora en Oracle PeopleSoft, aunque este extremo no ha sido confirmado oficialmente.
La agencia estadounidense sí ha confirmado que investiga una actividad no autorizada relacionada con FBIjobs.gov. En una declaración publicada el 23 de septiembre, explica que todavía no ha determinado si el punto de entrada estuvo en un proveedor externo o en la propia infraestructura del FBI y que trabaja con las empresas que prestan soporte al portal para reducir los posibles riesgos.
La investigación resulta especialmente relevante por la magnitud de las afirmaciones de ShinyHunters. El grupo sostiene que obtuvo información de “casi todos” los agentes del FBI y de personas que habían solicitado trabajar para la agencia, pero el alcance de ese supuesto robo no está confirmado.
El portal de empleo del FBI, en el punto de mira
ShinyHunters consiguió modificar temporalmente el portal de empleo del FBI y publicar allí un mensaje propio, según CyberScoop. El sitio quedó posteriormente fuera de servicio mientras se investigaba el incidente.
El grupo asegura que la entrada se produjo mediante un zero-day de Oracle PeopleSoft, la plataforma de gestión de recursos humanos utilizada en el entorno de contratación del FBI. La propia documentación de la agencia confirma que su sistema de contratación utiliza Oracle PeopleSoft HRS 9.2 y una base de datos Oracle.
Sin embargo, hay una diferencia fundamental entre ambos hechos: que el FBI utilice PeopleSoft está documentado, pero no se ha confirmado públicamente que exista el supuesto zero-day ni que esa vulnerabilidad haya sido el punto de entrada. Tampoco hay por ahora una CVE pública que identifique el fallo mencionado por los atacantes.
¿Qué datos habrían robado?
ShinyHunters asegura haber conseguido información sensible perteneciente tanto a trabajadores como a candidatos. Reuters recoge además la afirmación del grupo de que habría sustraído datos de un gran número de empleados actuales y antiguos del FBI. La agencia, por el momento, no ha confirmado qué información se ha visto realmente afectada.
Por ello, no puede darse por confirmado que se hayan filtrado los datos de prácticamente toda la plantilla, como sostiene ShinyHunters.
El FBI habla oficialmente de un “supuesto impacto” sobre información personal identificable (PII) de empleados y mantiene abierta la investigación para determinar tanto el alcance como el origen de la brecha.
ShinyHunters exige al FBI retirar una alerta
El incidente presenta además una particularidad: el grupo no se ha limitado a reivindicar el ataque, sino que ha vinculado sus acciones con una advertencia publicada anteriormente por el propio FBI.
ShinyHunters exige que la agencia retire una alerta difundida sobre sus actividades después de un ataque contra Instructure, compañía responsable de la plataforma educativa Canvas. El grupo habría dado al FBI alrededor de una semana para hacerlo.
El FBI había publicado anteriormente una alerta sobre ataques contra sistemas de gestión educativa y también ha relacionado determinadas campañas de extorsión posteriores al robo de información en Salesforce con el nombre ShinyHunters.
