FBI捜査官の血液検査結果と医師の診断書が情報漏洩後に明るみに出る

BBCニュースは、盗まれたFBI捜査官の健康診断書のサンプルを入手したと報じている。この「就労適性」報告書には、FBI捜査官の名前と住所が記載されており、さらに詳細な個人情報も明らかになっている。血液検査や尿検査の結果、高コレステロール、血尿、さらには甲殻類やバナナのアレルギーについて言及した医師のメモなどが含まれている。

先週報じたように、恐喝グループのShinyHuntersはFBIへの侵入に成功したと主張している。ShinyHuntersは、ランサムウェアグループClopのリークサイトを乗っ取った後、FBIが同グループに関する虚偽の情報を拡散したことへの報復として、FBIを攻撃したと述べている。

BBCの調査結果は事態の深刻さを改めて浮き彫りにした。窃盗の疑いのあるデータには、職員の身元情報や連絡先情報だけでなく、極めて機密性の高い医療記録も含まれている。ShinyHuntersは、その主張の証拠として、ジャーナリストにサンプルを提供した。

BBCは次のように述べている。

「ジャーナリストに提供されたサンプルは本物のようで、氏名、住所、電話番号、バッジ番号、役職、配偶者に関する情報などが含まれている。」

ShinyHuntersは、医療記録を保管するFBI MedLinkや、従業員および応募者の身元調査を行うFBI BEASTなど、複数のシステムにアクセスしたと主張しているが、FBIはこの主張を認めていない。FBIは、FBIJobs関連システムに影響が出たインシデントを認めており、FBI自身の環境か、あるいは第三者プロバイダーの環境が侵害されたのかを調査していると述べている。

同団体が表明している要求は金銭的なものではなく、FBIが5月に発表した勧告を撤回または削除することを求めている。ShinyHuntersは、この勧告は虚偽であり名誉毀損にあたると主張している。要求が満たされない場合は、5日以内にデータを公開するとしている。

サイバー犯罪者たちは、被害を受けた人々の数も増やした。ShinyHuntersは現在、約6万人の現職および元FBI職員に関する機密情報を保有していると主張している。盗まれたパスワードとは異なり、医療記録は変更できないため、被害を受けた人々は事件直後から長期間にわたって脆弱な立場に置かれる可能性がある。

影響を受けた場合の対応

FBIは、どのような情報がアクセスされたのか、また誰が影響を受けたのかをまだ確認していません。あなたが現職または元FBI職員、その親族、あるいはFBIの求人に応募したことがある方であれば、以下の点にご注意ください。

FBIの助言を確認してください。情報漏洩はそれぞれ状況が異なるため、FBI.govで最新情報を確認し、提供されている具体的な助言に従ってください。
パスワードを変更してください。FBI Jobsのアカウントをお持ちで、そのパスワードを他のアカウントでも使い回している場合は、それらのアカウントでもパスワードを変更してください。他の用途では使用していない強力なパスワードを選びましょう。できれば、パスワードマネージャーにパスワードを自動生成させるのが良いでしょう。
二要素認証（ 2FA ）を有効にしてください。可能であれば、FIDO2準拠のハードウェアキー、ノートパソコン、またはスマートフォンを第二要素として使用してください。2FAの中には、パスワードと同様にフィッシング詐欺の被害に遭いやすいものもありますが、FIDO2デバイスを使用する2FAはフィッシング詐欺の被害に遭うことはありません。
なりすましにご注意ください。サイバー犯罪者は、FBI、他の政府機関、またはあなたの知人を装って連絡してくる可能性があります。連絡してきた人物の身元を必ず確認してください。
焦らずに注意してください。フィッシング攻撃は、あなたが知っている人物やブランドになりすまし、配達の遅延、アカウントの停止、セキュリティ警告など、緊急の対応が必要なテーマを利用することがよくあります。
個人情報監視システムを設定しましょう。これにより、あなたの個人情報がオンラインで違法に取引されていることが判明した場合に警告を受け取ることができ、その後の復旧にも役立ちます。