A BBC News informou ter tido acesso a amostras de exames médicos roubados a agentes do FBI. Os relatórios de "aptidão para o trabalho" identificam os agentes do FBI pelo nome e morada, e revelam ainda mais detalhes pessoais. Incluem resultados de análises ao sangue e à urina e notas médicas que mencionam colesterol elevado, sangue na urina e até alergia a marisco e banana.
Tal como noticiámos na semana passada, o grupo de extorsão ShinyHunters afirma ter invadido o FBI. Depois de alegadamente ter assumido o controlo do site de fugas de informação do grupo de ransomware Clop , o ShinyHunters diz que atacou o FBI para punir a agência por divulgar o que considera serem informações falsas sobre o grupo.
As conclusões da BBC aumentam a tensão: o alegado roubo inclui registos médicos altamente sensíveis, e não apenas a identidade e os dados de contacto dos funcionários. A ShinyHunters partilhou amostras com os jornalistas como prova das suas afirmações.
A BBC afirma:
“As amostras partilhadas com os jornalistas parecem autênticas e incluem nomes, moradas, números de telefone, números de crachá, cargos e informações sobre os cônjuges.”
A ShinyHunters alega ter acedido a vários sistemas, incluindo o FBI MedLink, que armazena registos médicos, e o FBI BEAST, que realiza verificações de antecedentes de funcionários e candidatos, mas o FBI não confirmou estas alegações. O FBI reconheceu um incidente que afetou sistemas relacionados com o FBIJobs e afirma estar a investigar se o seu próprio ambiente ou o de um fornecedor externo foi comprometido.
A exigência declarada do grupo continua a ser não financeira: querem que o FBI retire ou remova um alerta de maio que o ShinyHunters considera falso e difamatório. O grupo afirma que divulgará os dados no prazo de cinco dias se as suas exigências não forem cumpridas.
Os cibercriminosos também aumentaram o número de pessoas afetadas. O grupo ShinyHunters afirma agora possuir informações confidenciais de cerca de 60.000 atuais e antigos funcionários do FBI. Os históricos médicos podem tornar as pessoas afetadas vulneráveis muito tempo depois do incidente: ao contrário de uma palavra-passe roubada, um registo médico não pode ser alterado.
O que fazer se for afetado
O FBI ainda não confirmou que informações foram acedidas ou quem foi afetado. Se é ou foi funcionário do FBI, se é familiar de um funcionário ou se se candidatou a uma vaga no FBI:
- Consulte as recomendações do FBI. Cada violação de segurança é diferente, por isso, consulte o site FBI.gov para obter atualizações e siga as orientações específicas oferecidas.
- Altere a sua palavra-passe. Se tiver uma conta no FBI Jobs e reutilizar a mesma palavra-passe noutros locais, altere-a também nessas outras contas. Escolha uma palavra-passe forte que não utilize para mais nada. Melhor ainda, deixe que um gestor de palavras-passe escolha uma para si.
- Active a autenticação de dois factores ( 2FA ). Se possível, utilize uma chave de hardware compatível com FIDO2, um computador portátil ou um telemóvel como segundo fator. Algumas formas de 2FA podem ser facilmente contornadas por phishing, assim como as passwords, mas a 2FA que utiliza um dispositivo FIDO2 não pode ser alvo de phishing.
- Cuidado com os impostores. Os cibercriminosos podem entrar em contacto consigo fazendo-se passar pelo FBI, outra agência governamental ou alguém que conhece. Verifique a identidade de qualquer pessoa que entre em contacto consigo.
- Não tenha pressa. Os ataques de phishing fazem-se frequentemente passar por pessoas ou marcas que conhece e utilizam temas que exigem atenção urgente, como entregas não realizadas, suspensões de contas e alertas de segurança.
- Configure a monitorização de identidade . Isto pode alertá-lo caso as suas informações pessoais sejam comercializadas ilegalmente online e ajudá-lo a recuperar posteriormente.
Sejamos realistas, uma janela de navegação anónima tem as suas limitações.
Violações de segurança, comércio na dark web, fraude de cartões de crédito. Malwarebytes Identity Theft monitoriza tudo isto, alerta-o rapidamente e inclui um seguro contra roubo de identidade.
