41 000 Vyriausybės darbuotojų duomenys išsiskyrė po didelio saugumo pažeidimo

Jungtinės Amerikos Valstijos Vidaus saugumo departamentas (DHS) susidūrė su vienu iš didžiausių duomenų pažeidimų per pastarąjį mėnesį – daugiau nei 41 000 darbuotojų asmens informacija tapo vieša. Ši informacija, įskaitant vardus, telefonų numerius, el. pašto adresus ir darbo pozicijas, buvo paskelbta ne pelno siekiančioje duomenų skaidrumo platformoje Distributed Denial of Secrets (DDoSecrets). Duomenis, kaip teigia platformos atstovai, pateikė „Department of Peace“ – savarankiška hacktivistų grupė, kuri teigė, kad gavo informaciją iš Okta prisijungimo paslaugos, naudojamos DHS.

Pagal CBC News, duomenų bazėje buvo įtraukta informacija apie darbuotojus iš kelių DHS padalinių: Imigracijos ir muitinės kontrolės (ICE), Muitinės ir pasienio apsaugos (CBP), Homeland Security Investigations, Cybersecurity and Infrastructure Security Agency bei kitų susijusių agentūrų. Be paprastų kontaktinių duomenų, duomenų rinkinys atskleidė ir darbo pareigas, įskaitant specialias operacijas, stebėjimo, kompiuterių forensikos ir slaptų tyrimų užduotis. Tai leidžia matyti, kurie darbuotojai dirba jautriose srityse, kurios iki šiol buvo laikomos vidine informacija.

DHS pareigūnai patvirtino, kad yra „žinomi apie galimą pažeidimą ir aktyviai dirba, kad situaciją spręstų greitai ir efektyviai“. Jie pažadėjo informuoti visuomenę, kai tik turės daugiau duomenų. CBC News nurodo, kad tai jau trečias didelis vyriausybės duomenų nutekėjimas per pastarąjį mėnesį – ankstesnių atvejų pavyzdžiai yra FBI duomenų nutekėjimas, kurį paskelbė ShinyHunters, ir gynybos ministerijos duomenų nutekėjimas, sukėlęs klasės veiksmų bylą.

DDoSecrets įkūrėja Emma Best teigė, kad sukurtas paieškos įrankis leidžia visuomenei naršyti duomenų bazę, „pakeičiant anonimiškumą atsakomybe“. Šis įrankis, pasak jos, turėtų padėti žurnalistams, viešųjų įrašų prašymų rengėjams ir kongreso priežiūrai. Tačiau duomenų autentiškumą patvirtinti nebuvo įmanoma – Reuters patikrinimas patvirtino tik šešis darbuotojus, kurių kontaktiniai duomenys sutapo su kreditų biuro įrašais ir kitais tamsiojo interneto šaltiniais.

„Department of Peace“ grupė, kurią citavo DDoSecrets, teigė, kad duomenys buvo gauti iš Okta prisijungimo sistemos, tačiau Okta atsakė, kad nėra įrodymų, jog jų sistemos būtų pažeistos. Ši priežastis rodo, kad pažeidimo šaltinis gali būti susijęs su konkrečiu DHS vartotoju, o ne su plačiu infrastruktūros pažeidimu.

Duomenų nutekėjimas atskleidžia ne tik asmeninius kontaktus, bet ir vidinius organizacinius struktūros planus bei operacijų pavadinimus, kurie iki šiol nebuvo viešai prieinami. Tai kelia klausimų dėl vidaus saugumo protokolų, prieigos kontrolės ir duomenų šifravimo praktikos. Nors DHS dar neatskleidė, kokios priemonės bus imtasi siekiant užkirsti kelią panašiems incidentams ateityje, šis įvykis primena, kad net didelės vyriausybinės institucijos gali būti pažeidžiamos, jei nepakankamai investuoja į nuolatinį saugumo auditą ir prieigos valdymą.

Kita vertus, šis atvejis rodo, kaip svarbu yra duomenų skaidrumas ir viešas prieigos teikimas, kai kalbama apie valstybės institucijų veiklą. Nors kai kurie kritikai teigia, kad tokios informacijos viešinimas gali kelti grėsmes nacionaliniam saugumui, DDoSecrets argumentuoja, kad „atsakomybės didinimas“ yra būtinas siekiant išvengti galimų piktnaudžiavimų ir skatinti atskaitomybę.

Visų pusių požiūris į šį įvykį rodo, kad duomenų saugumas yra nuolat besikeičianti sritis, kurioje technologiniai sprendimai, organizacinės politikos ir viešoji priežiūra turi veikti kartu. Tolesnių atnaujinimų laukiamas iš DHS, kai bus išsamiau išnagrinėta, kokios konkrečios priemonės bus įgyvendintos siekiant sustiprinti prieigos kontrolę, apsaugoti jautrią informaciją ir užkirsti kelią panašiems pažeidimams ateityje.