Le FBI a confirmé enquêter sur une revendication particulièrement inquiétante : le collectif cybercriminel ShinyHunters assure s’être emparé d’informations sensibles concernant l’ensemble du personnel du bureau fédéral américain, soit environ 38 000 personnes. Noms, fonctions, numéros de badge, adresses personnelles, numéros de téléphone et même des renseignements sur les conjoints figureraient dans le butin.
Dans un message publié sur X, l’agence indique avoir connaissance de ces affirmations et mener une enquête « active et énergique ». Elle cherche notamment à déterminer si ses propres systèmes ont été compromis ou si la fuite provient d’un prestataire, en citant les fournisseurs qui gèrent son site de recrutement FBIJobs.gov.
Une faille dans un stockage cloud d’Oracle
Selon les pirates, l’intrusion aurait eu lieu lundi soir, grâce à une vulnérabilité dans le système de stockage cloud d’Oracle utilisé par le FBI. Ils disent avoir atteint plusieurs outils internes : la plateforme de recrutement, le service de vérification des antécédents des employés et candidats, une base contenant les dossiers médicaux des agents et un système regroupant des informations d’enquête. Dès mardi, ils ont commencé à envoyer des extraits et des captures d’écran à des journalistes. D’après des médias ayant pu consulter une partie des données, celles-ci semblent authentiques. L’agence Reuters précise que certains fichiers décrivent les affectations d’agents travaillant sur des dossiers sensibles, comme le contre-espionnage face à la Chine et à la Russie ou la lutte contre les cartels.
Ciaran Martin, ancien directeur du centre national de cybersécurité britannique, juge que si la fuite est confirmée, elle serait « aussi grave qu’on peut l’imaginer ».
Un chantage à la réputation plutôt qu’à la rançon
Fait inhabituel, ShinyHunters affirme ne pas agir pour l’argent. Le groupe exige que le FBI retire un avis publié en mai qui le présentait comme un acteur malveillant utilisant des accès réels ou exagérés à des données pour extorquer ses victimes. Il donne une semaine au bureau pour corriger ce texte, faute de quoi il menace de diffuser l’intégralité des bases de données.
Ce collectif international, dont les origines seraient françaises, s’est déjà illustré cette année en visant Rockstar Games en avril puis la plateforme éducative Canvas en mai. Pour les spécialistes interrogés, il s’agit d’une attaque de représailles destinée à contrôler son image. Mais défier ainsi une agence fédérale pourrait aussi pousser le FBI à redoubler d’efforts pour identifier et poursuivre ses membres. Pour l’heure, rien ne permet encore de confirmer l’ampleur réelle du piratage.
À lire aussi : Piratage du FBI : les dossiers médicaux de milliers d’agents aux mains de ShinyHunters · Le ministère de la Justice confirme le piratage de l’email personnel du directeur du FBI Kash Patel
