Le FBI, une des agences de renseignement les plus puissantes au monde.. vient de se faire pirater. Le groupe ShinyHunters revendique le vol de données concernant des milliers d'employés actuels et anciens : noms complets, adresses personnelles, numéros de téléphone, et même des informations sur leurs familles. Pour prouver leur intrusion, les pirates ont détourné le site de recrutement du FBI pendant quelques minutes, affichant un message triomphal : « le site a été saisi par ShinyHunters ».
Quand une institution chargée notamment de traquer des cybercriminels se fait elle-même pirater, ça pose des questions. Surtout quand les pirates annoncent détenir entre 2 et 3 téraoctets de données, bien plus que ce qu'ils ont dévoilé publiquement. Je doute que les agents du FBI s'attendaient à voir leurs coordonnées privées exposées de cette manière.
Qui sont les ShinyHunters et pourquoi s'attaquent-ils au FBI ?
ShinyHunters est un collectif de pirates connu depuis plusieurs années pour avoir volé et revendu des bases de données massives d'entreprises françaises et internationales. Ils ont déjà ciblé des dizaines d'organisations, réclamant généralement des rançons en échange de la non-divulgation des données.
Cette fois, leur motivation est différente. Ils ne demandent pas d'argent mais exigent que le FBI retire ou modifie un bulletin publié au deuxième trimestre, dans lequel l'agence accuse ShinyHunters de recourir à du harcèlement, des menaces contre les familles des victimes, et de pratiquer la sextorsion. Le groupe nie catégoriquement ces accusations et affirme « sans équivoque » ne jamais avoir menacé de familles ni détenu de contenus compromettants sur leurs victimes.
Dans leur message, les pirates présentent même leur action comme un exercice de « libre expression » et une lutte contre la désinformation. Ils réfutent aussi tout lien avec « The Com », un réseau criminel décentralisé impliqué dans l'exploitation sexuelle d'enfants et ciblé par Europol. Pour eux, ce réseau serait « un élément de propagande inventé par le secteur de la sécurité informatique ».
Comment le piratage a-t-il eu lieu ?
D'après les informations disponibles, ShinyHunters aurait exploité une faille zero-day dans PeopleSoft, un logiciel de gestion des ressources humaines développé par Oracle. Cette vulnérabilité leur aurait permis d'accéder aux serveurs AWS GovCloud, l'infrastructure cloud sécurisée du gouvernement américain, et d'extraire massivement les données.
Une faille zero-day, c'est une vulnérabilité inconnue de l'éditeur du logiciel au moment où elle est exploitée. Même les organisations les mieux protégées peuvent être vulnérables si un maillon de la chaîne, comme un prestataire externe, n'est pas à jour ou mal configuré. Dans ce cas, c'est un logiciel de RH qui a servi de porte d'entrée vers des données sensibles.
Ce que cela signifie pour les employés du FBI
- Exposition à long terme : les adresses personnelles, numéros de téléphone et noms de famille peuvent servir de base à des campagnes de phishing ciblées, du harcèlement ou même des menaces physiques. Pour des agents du FBI, c'est particulièrement grave !
- Risque pour l'entourage : les informations sur les familles des employés peuvent être utilisées pour faire pression, même si ShinyHunters nie toute intention de ce type
- Utilisation future : ces données peuvent être revendues sur le dark web ou utilisées des mois, voire des années après le vol initial
