FBI onderzoekt claims over hack rond medische personeelsdossiers

De hackersgroep ShinyHunters heeft documenten gedeeld die volgens de groep medische dossiers van FBI-medewerkers bevatten, waaronder uitslagen van bloed- en urineonderzoek. De dienst onderzoekt ondertussen claims dat zijn wervingsportaal is gehackt. [1] [2]

BBC News meldde enkele naar verluidt gestolen verslagen van arbeidsgeschiktheidskeuringen te hebben ingezien, met aantekeningen van artsen, volledige namen en adressen van agenten en laboratoriumuitslagen. Reuters meldde afzonderlijk dat door de groep verstrekte bestanden onder meer een beoordeling van de geestelijke gezondheid voorafgaand aan indiensttreding en een uitslag van een elektrocardiogram bevatten. [1] [4]

In een verklaring op 23 september zei de FBI onderzoek te doen naar de vermeende inbreuk op FBIJobs.gov en het mogelijk blootleggen van persoonsgegevens van medewerkers. Volgens de dienst stond nog niet vast via welk punt toegang was verkregen — via een externe dienstverlener of via de eigen systemen van de FBI — en werkte de dienst samen met bedrijven die het portaal ondersteunen om de risico’s te beperken. [2]

Omvang blijft onduidelijk

ShinyHunters vertelde de BBC gevoelige informatie over ongeveer 60,000 huidige en voormalige FBI-medewerkers in bezit te hebben. Het blijft onduidelijk hoeveel mensen zijn getroffen en hoeveel medische dossiers mogelijk betrokken zijn. [1]

Reuters beschreef ook een door de hackers verstrekte spreadsheet van 5,000 regels met namen, adressen, telefoonnummers, geboortedata, Social Security-nummers en contactpersonen voor noodgevallen. Sommige vermeldingen bevatten plaatsingen bij regionale kantoren en taken op het gebied van inlichtingen, beveiliging of contraspionage. Het aantal regels is niet hetzelfde als het aantal afzonderlijke getroffen personen. [5]

Jamie Akhtar, topman en medeoprichter van CyberSmart, benadrukte in een citaat bij de BBC dat de claims van de hackers met voorzichtigheid moeten worden behandeld. Hij waarschuwde echter dat zulke informatie overtuigende phishing, het zich voordoen als iemand anders, identiteitsfraude en chantage mogelijk zou kunnen maken, evenals operaties gericht op medewerkers van opsporingsdiensten. [1]

Eis tot intrekking door de FBI

De BBC meldde dat ShinyHunters geen geld eiste, maar wilde dat de FBI een in mei gepubliceerde waarschuwing zou intrekken. In die waarschuwing stond dat de groep ware of overdreven claims over toegang tot gevoelige informatie gebruikte om slachtoffers onder druk te zetten om te betalen, en daarnaast slachtoffers en hun familieleden lastigviel. [1] [3]

De groep heeft uiteenlopende verklaringen afgelegd over wat er vervolgens zou gebeuren. In haar bericht van 25 september meldde de BBC dat de hackers hadden gedreigd de volledige dataset binnen vijf dagen te publiceren, tenzij aan hun eisen werd voldaan. Een Reuters-bericht van diezelfde dag meldde dat ShinyHunters zijn eis van zijn website had verwijderd en op 24 september had geweigerd toe te lichten wat de groep zou doen als de FBI er niet aan voldeed. [1] [4]