BBC Newsの報道によると、同局は盗まれたFBI捜査官の健康診断書のサンプルを確認しました。「就労適性」に関するこの報告書には、FBI捜査官の氏名と住所が記載されているほか、さらに詳しい個人情報も含まれています。血液検査や尿検査の結果、高コレステロールや血尿に言及した医師のメモ、さらには甲殻類とバナナのアレルギーの記載まであります。
先週お伝えしたとおり、恐喝グループのShinyHuntersは、FBIへの侵入に成功したと主張しています。ShinyHuntersは、ランサムウェアグループClopのリークサイトを乗っ取ったとされる後、自らに関する虚偽の情報を広めたとしてFBIを罰するために攻撃したと述べています。
BBCの調査結果は、事態の深刻さを一段と高めるものです。盗まれたとされるデータには、職員の身元情報や連絡先だけでなく、極めて機微な医療記録も含まれています。ShinyHuntersは、主張の証拠として、サンプルを報道機関に提供しました。
BBCは次のように伝えています。
「報道機関に提供されたサンプルは本物とみられ、氏名、住所、電話番号、バッジ番号、役職、配偶者に関する情報が含まれています。」
ShinyHuntersは、医療記録を保管する「FBI MedLink」や、職員と応募者の身元調査を扱う「FBI BEAST」など、複数のシステムにアクセスしたと主張しています。ただし、FBIはこれらの主張を確認していません。FBIは、FBIJobs関連システムに影響したインシデントが発生したことは認めており、自らの環境が侵害されたのか、外部のサービス事業者が侵害されたのかを調査中としています。
同グループが掲げる要求は、依然として金銭ではありません。ShinyHuntersが虚偽かつ名誉毀損だと主張する5月の注意喚起を、FBIが撤回または削除することを求めています。要求が受け入れられなければ、5日以内にデータを公開するとしています。
サイバー犯罪者は、影響を受けた人数についても、主張を引き上げました。ShinyHuntersは現在、現・元FBI職員約6万人分の機微な情報を保有していると主張しています。パスワードと違って、医療記録は変更できません。病歴が流出すれば、インシデント直後だけでなく、その後も長期にわたり被害者が狙われやすくなるおそれがあります。
影響を受けた可能性がある場合の対処法
FBIは、どの情報にアクセスされたのか、誰が影響を受けたのかを、まだ確認していません。現・元FBI職員、その親族、またはFBIの求人に応募したことがある方は、次の対策を講じてください。
- FBIの案内を確認する。 情報漏えいはそれぞれ状況が異なります。FBI.govで最新情報を確認し、個別の指示があればそれに従ってください。
- パスワードを変更する。 FBI Jobsのアカウントをお持ちで、そのパスワードを他のサービスでも使い回している場合は、それらのアカウントのパスワードも変更してください。他では使っていない強力なパスワード を選びましょう。パスワードマネージャー に生成を任せると、さらに安心です。
- 二要素認証（2FA）を有効にする。 可能であれば、FIDO2準拠のハードウェアキー、ノートPC、スマートフォンを第2要素として使ってください。2FAの中にはパスワードと同じくらい簡単にフィッシングされてしまう方式もありますが、FIDO2デバイスを使う2FAはフィッシングできません。
- なりすましに注意する。 サイバー犯罪者は、FBIや他の政府機関、あるいは知人を装って連絡してくるおそれがあります。連絡してきた相手の身元は必ず確認してください。
- 慌てず落ち着いて対応する。 フィッシング攻撃は、知っている人物やブランドをよく装い、不在通知、アカウント停止、セキュリティ警告など、緊急の対応を迫る題材を使います。
- 個人情報モニタリングを設定する。 個人情報 がオンラインで不正に取引されているのが見つかった場合に通知を受け取れるほか、その後の復旧にも役立ちます。
シークレットウィンドウでできることには限りがあります。
情報漏えい、ダークウェブでの取引、クレジット詐欺。Malwarebytes Identity Theft Protection は、そのすべてを監視し、素早く通知します。個人情報の盗難に備える保険も付いています。
