Het feit dat de FBI is gehackt, onthult de eigen cyberinlichtingenagenten van de dienst

Eind september publiceerde de hackersgroep ShinyHunters informatie waarin zij uitvoerig beschreven wat volgens hen een grootschalige, uiterst succesvolle cyberaanval op het Amerikaanse Federal Bureau of Investigation was. Volgens berichten en beweringen die rechtstreeks door de groep werden verspreid, drongen de hackers diep door in de infrastructuur van de dienst met behulp van een op Oracle gebaseerde zero-day-exploit en haalden zij gevoelige persoonlijke gegevens op over federale agenten en sollicitanten die bij de FBI wilden werken.

In plaats van de gegevens stilletjes te lekken, namen de hackers een agressieve houding aan. Nadat de FBI de omvang en de impact van de beweringen aanvankelijk had gebagatelliseerd, reageerde ShinyHunters publiekelijk en eiste een officiële verontschuldiging van de dienst, evenals de onmiddellijke intrekking van openbare verklaringen waarin de legitimiteit van hun hacks in twijfel werd getrokken. De groep beschouwde de inbreuk niet louter als een standaard geval van gegevensdiefstal, maar als een demonstratie van een ernstige kwetsbaarheid binnen de interne infrastructuur, het personeelsbeheer en de operationele beveiliging van de dienst.

Volgens berichtgeving van 404 Media, gebaseerd op communicatie van de groep, zouden de gelekte details onder meer specifieke informatie bevatten waarmee kan worden vastgesteld welke agenten deel uitmaken van de cybereenheden en -operaties van de FBI. Dit raakt de kern van de onderzoeksmechanismen van de dienst en legt mogelijk methoden en personeel bloot die doorgaans door meerdere lagen van geheimhouding worden afgeschermd.

Hoewel de FBI verklaarde de zaak actief te onderzoeken, waren de gevolgen en de imagoschade onmiddellijk merkbaar en verslechterden deze nog verder toen het bureau het domein apply.fbijobs.gov moest uitschakelen nadat ShinyHunters de website had overgenomen om hun eigen boodschap te tonen. De site is nog steeds offline en het zal waarschijnlijk weken duren voordat de volledige omvang van het beveiligingslek bekend is.