Venerdì il direttore dell'FBI Kash Patel ha annunciato che, nel corso di un'operazione svolta all'inizio della settimana, gli agenti hanno arrestato «un altro presunto complice» di ShinyHunters. L'arresto arriva mentre l'agenzia fronteggia il furto dei dati di quasi tutto il personale, secondo quanto riporta The Record.
Patel ha definito l'arresto l'ultimo di una serie di fermi legati alla rete avvenuti nell'arco di pochi giorni. Ha aggiunto che l'FBI sta collaborando con i partner per smantellare ciò che resta del gruppo e seguire nuove piste ovunque si trovino i suoi membri.
L'FBI non ha risposto alle richieste di dettagli. Il New York Times riferisce che l'arresto sarebbe avvenuto in Pennsylvania e che il sospettato sarebbe un cittadino canadese. Nessuno dei due elementi è stato confermato dall'FBI.
Fermi precedenti
The Record afferma che almeno altri due presunti membri sono stati presi in custodia nelle ultime due settimane. Non precisa se in questo conteggio rientri anche Saif al-Din Khader.
Più fonti dell'FBI hanno detto a Reuters sabato che Khader è stato arrestato in Giordania il 28 settembre. Giornalisti e ricercatori lo avevano già indicato come una figura chiave del gruppo. Secondo queste fonti anonime, avrebbe accettato di aiutare l'FBI e altre agenzie a individuare altri membri.
L'FBI e la polizia olandese hanno inoltre annunciato pubblicamente l'arresto di Pepijn van der Stap, anch'egli presunto membro. The Record non indica una data per questo arresto.
Cosa hanno sottratto gli intrusi
ShinyHunters ha preso il controllo del dominio FBIjobs.gov e ne ha alterato la pagina. The Record riferisce che il gruppo ha anche esfiltrato grandi quantità di informazioni sensibili su quasi ogni dipendente dell'FBI, ma non fornisce un numero di record.
Il gruppo ha reso nota per la prima volta l'intrusione consegnando alcuni campioni a testate giornalistiche. Secondo The Record, i campioni servivano a dimostrare che il gruppo possedeva dati sugli agenti: cartelle cliniche, indirizzi di casa, numeri di telefono e le sedi dell'FBI in cui lavorano. The Record non dice di averli esaminati personalmente.
Anche alcuni agenti delle forze di polizia locali che prestano servizio in task force congiunte con l'FBI sarebbero coinvolti. MS NOW riferisce che sarebbero state esposte migliaia di registrazioni su questi agenti, senza però una cifra precisa.
La settimana scorsa l'FBI ha inviato ai dipendenti un memorandum interno sulla violazione. Il documento avvertiva di possibili rischi per il personale e per le rispettive famiglie.
Causa riportata: un sistema non aggiornato
Reuters, citando fonti anonime, riferisce che l'FBI avrebbe ricondotto la violazione a un appaltatore di Accenture, non identificato, che non avrebbe applicato una patch a un sistema vulnerabile. Lo stesso servizio afferma che l'appaltatore è stato licenziato questa settimana. Questi dettagli provengono da fonti non identificate e non sono confermati ufficialmente.
Gli hacker hanno però fornito una versione diversa. In precedenza sostenevano di essere entrati sfruttando una falla in un software Oracle, della quale gli esperti di cybersicurezza avevano parlato a giugno, come riportato in un precedente articolo di The Record. La copertura giornalistica non cita alcun identificativo CVE.
Cosa dichiara il gruppo
ShinyHunters ha dichiarato in messaggi inviati a diverse testate che non pubblicherà i dati rubati e che non vuole che la disputa con l'FBI si aggravi. Il gruppo ne fa risalire l'origine a un avviso dell'FBI sulla propria attività, l'IC3 PSA260515, che contesta.
The Record riferisce che, nelle ultime due settimane, l'FBI ha smantellato gran parte dell'infrastruttura del gruppo e che le forze dell'ordine hanno ostacolato i tentativi di riattivarne le piattaforme. Il gruppo è tornato su Telegram questa settimana. Venerdì mattina ha pubblicato un messaggio in cui diceva che non sarebbe rimasto a lungo e che «diversi dei nostri membri sarebbero stati arrestati dall'FBI».
