Hackers supostamente ganham acesso ao portal de dados da Drug Enforcement Administration

Acredita-se que os hackers conseguiram comprometer um portal de dados administrado pela Agência Antidrogas dos EUA (DEA), desbloqueando o acesso a uma grande quantidade de informações.

Como relata o jornalista de segurança cibernética Brian Krebs(Abre em uma nova janela), a violação teria permitido que os invasores vasculhassem 16 bancos de dados federais de aplicação da lei cobrindo uma ampla variedade de dados investigativos. Como isso aconteceu? Uma falha na implementação da autenticação multifator parece ser a causa principal.

Krebs escreveu que soube que “o suposto comprometimento está vinculado a uma comunidade de crimes cibernéticos e assédio online que rotineiramente se passa por policiais e funcionários do governo para coletar informações pessoais sobre seus alvos”.

Ele disse que uma dica para esta história veio de um administrador não identificado da Doxbin – “uma comunidade online altamente tóxica que fornece um fórum para desenterrar informações pessoais sobre as pessoas e publicá-las publicamente”. Krebs observou ainda que esse acesso não autorizado pode ser abusado para enviar dados falsos sobre suspeitos, citando comentários de Nicholas Weaver(Abre em uma nova janela)pesquisador da Universidade da Califórnia no Instituto Internacional de Ciência da Computação de Berkeley.

Dicas falsas têm sido frequentemente usadas para iniciar ataques de “swatting”, nos quais relatos falsos sobre crimes em andamento levam a polícia a invadir uma residência com equipes da SWAT fortemente armadas. O alvo – ou um espectador aleatório – pode acabar morto no processo.

Infelizmente, Krebs tem experiência pessoal com esse cenário. Em 2013, no condado de Fairfax, Virgínia, a polícia apareceu em sua porta, armas em punho(Abre em uma nova janela) depois de receber uma denúncia falsa de que russos invadiram e atiraram em sua esposa. O agressor foi pego após participar de um fórum online clandestinamente administrado pelo FBI e, posteriormente, foi sentenciado em 2016(Abre em uma nova janela).

A página de login(Abre em uma nova janela) para o El Paso Intelligence Center da DEA (sim, EPIC) convida os usuários a fazer login com um cartão de verificação de identidade pessoal emitido pelo governo(Abre em uma nova janela), mas também permite o acesso tradicional por nome de usuário e senha. A fonte com quem Krebs conversou disse a ele que “o hacker que obteve esse acesso ilícito conseguiu fazer login usando apenas as credenciais roubadas e que em nenhum momento o portal solicitou um segundo fator de autenticação”.

Recomendado por nossos editores

Isso seria um sério risco de segurança para um sistema de webmail, muito menos para um portal para um grande banco de dados de aplicação da lei. Também contaria como o uso mais preciso do termo “falha EPIC”.

Por enquanto, a DEA não está compartilhando nenhum detalhe e apenas forneceu uma declaração genérica dizendo que “leva a segurança cibernética e informações de invasões a sério”. Enviamos uma solicitação de comentário ao DOJ e atualizaremos esta postagem se e quando recebermos uma.

Os federais devem, no entanto, saber o que devem fazer para consertar isso. A ordem executiva sobre segurança cibernética(Abre em uma nova janela) que a administração Biden emitiu em maio de 2021 determina que vá além das senhas: “No prazo de 180 dias a partir da data desta ordem, as agências devem adotar autenticação e criptografia multifator para dados em repouso e em trânsito, na medida máxima consistente com registros federais leis e outras leis aplicáveis.”

SecurityWatch<\/strong> newsletter for our top privacy and security stories delivered right to your inbox.”,”first_published_at”:”2021-09-30T21:22:09.000000Z”,”published_at”:”2022-03-24T14:57:33.000000Z”,”last_published_at”:”2022-03-24T14:57:28.000000Z”,”created_at”:null,”updated_at”:”2022-03-24T14:57:33.000000Z”})” x-show=”showEmailSignUp()” class=”rounded bg-gray-lightest text-center md:px-32 md:py-8 p-4 mt-8 container-xs”>

Gostou do que está lendo?

Inscreva-se para SecurityWatch newsletter para nossas principais histórias de privacidade e segurança entregues diretamente na sua caixa de entrada.

Este boletim informativo pode conter publicidade, ofertas ou links de afiliados. A subscrição de uma newsletter indica o seu consentimento com os nossos Termos de Utilização e Política de Privacidade. Você pode cancelar a assinatura dos boletins informativos a qualquer momento.

Leave a Reply

Your email address will not be published.