ФБР попередило агентів під прикриттям, що їхні телефонні журнали зламали

Керівники ФБР попередили, що, на їхню думку, хакери, які зламали систему AT&T Inc., викрали журнали дзвінків і текстових повідомлень їхніх агентів за місяці, поклавши початок перегонів всередині бюро за захист ідентичності конфіденційних інформаторів, свідчить документ, з яким ознайомлений Bloomberg News.

Представники ФБР повідомили агентам по всій країні, що відомості про їх використання в мережі телекомунікаційного оператора, ймовірно, були серед мільярдів викрадених записів, згідно з документом та інтерв’ю з нинішнім і колишнім співробітником правоохоронних органів. Вони попросили не називати їх імена для обговорення конфіденційної інформації. Згідно з документом, дані з усіх пристроїв ФБР, які належать службі AT&T для агентств громадської безпеки, були вилучені.

Кеш зламаних записів AT&T не розкрив суті повідомлень, але, згідно з документом, міг пов’язати слідчих із їхніми секретними джерелами. Вважається, що дані включали номери мобільних телефонів агентів і номери, з яких вони дзвонили та надсилали повідомлення, свідчить документ. Записи дзвінків і текстових повідомлень, які не були в мережі AT&T, наприклад через зашифровані програми обміну повідомленнями, не були частиною викрадених даних.

У липні AT&T публічно оприлюднила інформацію про злам і заявила, що містить дані про клієнтів мобільних телефонів за шість місяців з 2022 року. Хакери погрожували продати ці дані, якщо телекомунікаційна компанія не заплатить комісію за вимагання.

Особа, обізнана про злом, яка переглянула зразок викраденої інформації, підтвердила, що вона містить записи конфіденційних повідомлень ФБР: журнали викликів принаймні одного агента. Людина побажала не називати її імені, оскільки інформація є приватною.

Занепокоєння ФБР щодо злому, який скомпрометував його таємні джерела, про який раніше не повідомлялося, підкреслює, що дані, викрадені з телефонних компаній, можуть порушити кримінальні розслідування та національну безпеку. Колишні агенти сказали, що це також викликає питання щодо власної практики безпеки бюро та того, як воно захищає свої джерела. Влада США все ще розслідує окреме порушення дев'яти телекомунікаційних компаній, включаючи AT&T. Вони звинуватили китайських державних хакерів у цих вторгненнях, які скомпрометували комунікацію ряду людей в уряді та політиці.

ФБР відмовилося відповідати на конкретні запитання, включно з тим, чи скомпрометував квітневий злом AT&T джерела чи розслідування, чи вдалося захистити викрадені дані. «ФБР постійно адаптує наші методи роботи та безпеки в міру розвитку фізичних і цифрових загроз», — йдеться в заяві агентства. «ФБР несе особливу відповідальність за захист особи та безпеки конфіденційних джерел інформації, які щодня надають інформацію, яка забезпечує безпеку американського народу, часто ризикуючи для себе».

Представник AT&T Алекс Баєрс сказав: «Після того, як злочинці вкрали дані клієнтів минулого року, ми тісно співпрацювали з правоохоронними органами, щоб пом’якшити вплив на діяльність уряду». Він сказав, що компанія цінує нещодавні арешти правоохоронних органів за порушення та продовжує «збільшувати інвестиції в безпеку, а також контролювати та відновлювати наші мережі».

Колишні співробітники ФБР і розвідки заявили, що викрадені телефонні записи теоретично можуть бути використані іноземною шпигунською службою для розкриття ретельно зібраних джерел джерел, потенційно загрожуючи кримінальним розслідуванням, операціям національної безпеки та життям людей.

«Будь-яке розголошення таких повідомлень завдає значної шкоди розслідуванню, але також потенційно небезпечно для конфіденційних інформаторів, якщо їх особистість буде розкрита», — сказав Вільям Еваніна , агент ФБР у відставці та колишній директор Національного центру контррозвідки та безпеки. «Недобре».

У червні, як частину свого попередження, лідери ФБР заявили, що внутрішня команда безпеки виявила численні конфіденційні джерела, зв’язок яких із телефонами AT&T конкретних агентів може бути розкритий, свідчить документ. Агентство закликало вжити негайних заходів, щоб обмежити наслідки, враховуючи можливість того, що хакери оприлюднили матеріали, і нагадало деяким агентам спілкуватися з інформаторами лише за допомогою дозволених таємних методів, як це видно.

Злом AT&T був частиною ширшої серії хакерських дій проти користувачів постачальника програмного забезпечення Snowflake Inc. У червні Snowflake заявила, що хакери вели «цільову кампанію» проти своїх клієнтів, використовуючи вкрадені облікові дані для доступу до облікових записів, які не були захищені багатофакторною автентифікацією. Хакери зламали акаунти аж 165 клієнтів. За даними телефонної компанії, в AT&T вони викрали записи дзвінків і текстових повідомлень з 1 травня 2022 року по 31 жовтня того ж року.

Докладніше: Злом Snowflake збільшується завдяки крадіжці тексту AT&T, даних про виклики

Міністерство юстиції двічі дозволило AT&T відкласти розкриття компромісу через потенційний ризик для національної та громадської безпеки. Під час затримки ФБР намагалося обмежити шкоду, заподіяну в разі потрапляння даних у чужі руки, зокрема проаналізувавши, які джерела розмовляли або писали повідомлення з агентами через телефони AT&T протягом відповідного періоду часу, свідчить документ.

У 2020 році ФБР уклало угоду на 92 мільйони доларів для служби FirstNet від AT&T для її «щоденних і екстрених операцій». Контракт був розрахований на п’ять років, і бюро передбачало, що протягом першого року знадобиться 70 000 телефонних ліній, згідно з даними Управління звітності уряду США .ФБР також розслідувало, хто стоїть за зломом AT&T. У жовтні федеральна прокуратура висунула звинувачення двом чоловікам, Олександру «Коннору» Моуці, громадянину Канади, і Джону Еріну Біннсу, громадянину США, який проживає в Туреччині. Пару звинувачують у вимаганні 2,5 мільйона доларів у криптовалюті у клієнтів Snowflake і спробі продати викрадені дані. Їхні адвокати не відповідали на дзвінки та електронні листи з проханням прокоментувати, а в протоколах федерального суду не вказано, чи заявляли чоловіки провину. 

Минулого місяця солдат армії США Кемерон Джон Вагеніус був заарештований за звинуваченням у спробі продати конфіденційні телефонні дані, що належать компанії, яка не вказана в судових протоколах. Вважається, що 20-річний хлопець стоїть за онлайн-персоною, яка погрожувала витоком даних AT&T у листопаді, за словами Остіна Ларсена, аналітика фірми з кібербезпеки Mandiant.

Призначений судом захисник Вагеніуса не відповів на електронні листи та телефонні повідомлення з проханням прокоментувати. У судових протоколах не вказано, чи Вагеніус заявив свою провину.

У липні хакер заявив, що AT&T заплатила 400 000 доларів за видалення вкрадених даних, а особа, знайома з переговорами, підтвердила гонорар за вимагання. Раніше AT&T відмовився коментувати ймовірний платіж.

У своїй липневій корпоративній заявці, яка розкриває порушення , компанія заявила , що «не вважає, що дані є загальнодоступними». Однак незрозуміло, чи були записи захищені.

Даррен Мотт, який керував контррозвідувальними розслідуваннями в офісі ФБР в Хантсвіллі, штат Алабама, сказав, що Бюро та інші правоохоронні та розвідувальні служби, ймовірно, взялися захищати джерела, виходячи з припущення, що ці дані зрештою стануть доступними.

«З погляду оперативної безпеки, це величезна проблема, — сказав Мотт, який пішов у відставку з ФБР у 2019 році, — яка, в ідеалі, я думаю, зрештою призведе до того, що бюро змінить структуру та спосіб спілкування з джерелами».

За словами деяких колишніх агентів, зловживання клієнтами Snowflake свідчить про небезпеку зберігання конфіденційних даних у зовнішніх компаніях. Мігель Кларк, колишній агент у Далласі, який пішов на пенсію у 2021 році, сказав, що попередження ФБР про спілкування агентів із конфіденційними інформаторами свідчить про глибші проблеми.

«Це більше помилка операційної системи, ніж помилка технології», — сказав Кларк, додавши, що це так само тривожно, як авіакомпанія повинна нагадувати своїм пілотам «опустити шасі перед посадкою».