Хакерская группа ShinyHunters заявила, что получила 2–3 ТБ чувствительной информации ФБР, включая данные сотрудников и соискателей. Если утечка данных ФБР подтвердится в полном объёме, это будет не просто очередной инцидент с персональными данными, а удар по кадровой, операционной и контрразведывательной инфраструктуре одного из самых закрытых ведомств США.
О заявлении хакеров сообщает Engadget со ссылкой на Reuters и 404 Media. По данным публикации, Reuters видел образец похищенной информации, а 404 Media получила подтверждение атаки от представителя ShinyHunters. Та же группа, предположительно, стоит за несанкционированным захватом сайта ФБР, который произошёл ранее на этой неделе.
По словам представителя ShinyHunters, группа якобы получила данные обо всех сотрудниках ФБР и кандидатах на работу в ведомстве. Заявленный объём — от 2 до 3 ТБ. При этом проверенный журналистами фрагмент, судя по описанию, включал сведения примерно о 5 тыс. сотрудников: имена, адреса, номера телефонов, даты рождения, номера социального страхования и данные экстренных контактов.
Отдельно тревожная часть — не только персональные данные. В материале говорится, что хакеры могли получить сведения о некоторых рабочих назначениях агентов и о подразделениях ФБР, связанных с разведкой, безопасностью и контрразведкой. Среди упомянутых направлений — операции, связанные с Китаем и Россией. Для русскоязычной IT-аудитории это важный маркер: атакующие всё чаще охотятся не за абстрактными базами, а за связями между людьми, ролями, доступами и внутренними процессами.
ShinyHunters утверждает, что доступ был получен через zero-day-уязвимость в PeopleSoft от Oracle. По версии группы, эксплойт позволил попасть к серверам Amazon Web Services GovCloud. Это не подтверждённая техническая атрибуция, а заявление самих атакующих, поэтому относиться к нему нужно аккуратно. Но даже такая версия выглядит болезненно правдоподобно для корпоративного мира: старые кадровые и административные платформы часто живут рядом с критичными данными, а их интеграции тянутся глубже, чем хотелось бы архитекторам безопасности.
ФБР в комментарии Reuters подтвердило, что знает о киберпреступной группе, заявляющей о компрометации портала FBIJobs.gov и возможном затрагивании персональных данных сотрудников. Ведомство заявило, что активно расследует инцидент. Это важная формулировка: ФБР не подтверждает масштаб 2–3 ТБ и не признаёт все заявления ShinyHunters фактами, но и не отмахивается от истории как от пустого шума.
Контекст делает эпизод ещё интереснее. ShinyHunters давно известна атаками, где данные используются как рычаг давления. Среди прошлых целей группы назывались Ticketmaster и Rockstar Games. Обычно такие истории упираются в вымогательство: украденные данные, угроза публикации, переговоры, деньги. Здесь представитель группы заявил 404 Media, что мотив не финансовый. По его словам, цель — заставить ФБР убрать или изменить прежнее заявление о ShinyHunters.
Речь идёт о майском отчёте ФБР, где ведомство писало, что группа преувеличивает масштаб доступа к чувствительной или персональной информации, чтобы подтолкнуть жертв к оплате. Если пересказать без дипломатии, ShinyHunters, похоже, пытается доказать: «мы не блефуем». Для хакерских групп репутация — валюта не хуже криптовалюты. Чем страшнее выглядит их доступ, тем легче давить на следующие цели.
Для бизнеса вывод здесь не в том, что «даже ФБР взломали, значит, всем конец». Это ленивый вывод. Более полезный вопрос: какие кадровые порталы, системы подбора, HRM, IAM-интеграции и облачные окружения в вашей компании содержат данные, которые при утечке превратятся в карту организации? И кто последний раз проверял, какие сервисные аккаунты, API-ключи и роли доступа связывают эти системы между собой?
Утечка данных ФБР, если она подтвердится, показывает неприятный сдвиг в ценности украденной информации. ФИО и телефоны сами по себе уже не главный трофей. Гораздо опаснее связка: человек, должность, подразделение, проект, контакт для чрезвычайных ситуаций, история найма и внутренний контекст. Такой набор годится для фишинга, шантажа, вербовочных попыток, атак на подрядчиков и точечного давления на сотрудников.
Для разработчиков и команд безопасности это ещё один аргумент в пользу скучных, но рабочих практик: минимизация данных в HR-системах, жёсткое разделение контуров, контроль привилегий, нормальная инвентаризация интеграций, журналирование доступа и регулярные проверки облачных ролей. Zero-day нельзя «закрыть дисциплиной», но можно не превращать одну уязвимость в экскурсию по всей инфраструктуре.
Главный вопрос теперь не только в том, был ли у ShinyHunters заявленный объём данных. Важнее другое: сколько организаций всё ещё хранят кадровые и операционные данные так, будто это внутренний справочник, а не готовый набор для атаки на людей, процессы и доверие внутри компании.