security
今回は私的な事情も絡んでいます
ShinyHuntersは、FBIをハッキングし従業員データ2TB以上を盗み出したと主張しています。今回は単なる金銭目的ではなく、個人的な思いが背景にあるといいます。同グループは、FBIが自分たちの手口について発表した内容を訂正するよう求めています。
「これは金銭目的ではありません」とShinyの広報担当者はThe Registerに語りました。「私たちはFBIに対し、多くの虚偽の主張を含む発表内容を訂正、あるいは撤回してほしいのです」
FBIはThe Registerのコメント要請に即答しませんでした。
ShinyHuntersの広報担当者によると、この恐喝グループはFBI求人サイトにあったOracle PeopleSoftのゼロデイ脆弱性を悪用し、サーバー上でリモートコード実行(RCE)が可能になったとしています。その後グループはサイトを改ざんし、「This site has been seized by ShinyHunters(このサイトはShinyHuntersが掌握しました)」というバナー画像に差し替え、その画像をThe Registerと共有しました。
本稿執筆時点で、同サイトには「現在メンテナンスのため停止していますが、間もなく復旧します!」と表示されています。
ShinyHuntersはさらに、侵害したサイトから横方向に移動し、FBIがAWS GovCloud上で管理するサーバーに侵入して、現職・元職員および採用応募者に関するデータ約2TBから3TBをダウンロードしたと主張しています。
「私たちはFBIの全職員および応募者のデータを保有しています」と広報担当者は述べています。
ShinyHuntersは、侵害を受けたFBIのサービスには人事部門、MedLink、そして刑事司法情報サービス(Criminal Justice Information Services)が含まれると主張しています。
OracleとAWSはいずれも、Oracleが PeopleSoftの認証前RCEゼロデイを認識しているか、またAWSが今回の情報流出疑惑について何らかの情報を持っているかを含む取材依頼に、即答しませんでした。回答があれば本記事を更新します。
同グループが通常行う数百万ドル規模の身代金要求を伴う、盗んだファイルを公開しないことを条件とした強盗まがいの手口とは異なり、ShinyHuntersはFBIに対して金銭を要求してはいないとしています。
その代わりに同グループが求めているのは、5月15日の発表でShinyHuntersについて述べられた内容の撤回です。この発表は、同グループが教育テック大手Instructure社のCanvasプラットフォームに侵入し、数億人規模の学生・教員・職員に関するデータを盗んだと主張した直後に出されたものです。FBIは発表の中で、ShinyHuntersが「被害者やその家族に対して脅迫的なテキストメッセージや電話をかけるなどの嫌がらせ戦略を用い、場合によってはスワッティング(虚偽通報による武装警察出動)も行っている」と述べていました。
このセキュリティ警告ではさらに、恐喝グループが「被害者の恥ずかしい写真や動画など、機密性の高い情報や不都合な情報を持っていると偽って主張することがあるが、そうした情報は実際には存在しない場合が多い」とも指摘されています。
Shinyはこれらの主張はすべて事実ではないとしています。「私はこうした主張に対抗するため、できる限りのことをしてきました」と同グループは語りました。「そして、これが最善の方法なのです」®
