FBI pod útokem. Hacker ukradl tisíce kontaktů na stážistky i speciální agenty

  • Premiér Sobotka není jedinou obětí sociálního hackingu
  • Podobnou techniku použil i jistý hacker za oceánem
  • Zveřejnil desetitisíce kontaktů na zaměstnance FBI

Premiér Sobotka se na přelomu roku stal obětí několika kybernetických útoků. První směřoval na jeho twitterový účet a druhý pak na soukromý e-mail od Seznamu. Přestože nakonec vyšlo najevo, že se nejspíše nejednalo o žádný technicky sofistikovaný hacking, ale ten znalostní, kdy se pokouší útočník zjistit o své oběti co nejvíce docela běžných informací a pak je zneužije třeba při obnově hesla odpovědí na nějakou relativně banální otázku.

Ačkoliv se zde samozřejmě nabízí doporučení, aby se Sobotka už jen kvůli svému exekutivnímu postavení lépe zabezpečil i na internetových službách třetích stran, které neprovozuje přímo Úřad vlády, faktem zůstává, že sociální hacking je čas od času poměrně úspěšný i při útocích na ty nejvyšší federální instituce v USA.

Penis útočí

V předvečer Dne bezpečnějšího internetu to v plné nahotě ukázal jistý penis, jak sám sebe na Twitteru označil prozatím neznámý propalestinský útočník, který ve stručném tweetu tvrdí, že získal kontaktní údaje o 20 000 zaměstnanců FBI, přičemž jejich seznam umístil na službu Cryptobin.

Klepněte pro větší obrázek

O svém záměru přitom informoval veřejnost už o víkendu, a aby dal svým slovům dostatek věrohodnosti, část databáze poskytl redakci Motherboardu, která vybraná telefonní čísla vyzkoušela v praxi a skutečně se dovolala jak konkrétním analytikům FBI, tak na ústřednu federálního úřadu.

Součástí seznamu přitom nejsou pouze jména zaměstnanců a jejich telefonní čísla, ale také zařazení v rámci úřadu, přičemž se nejednalo jen o běžný civil, ale i operativce a speciální agenty.

Adresář FBI poté útočník doplnil ještě seznamy dalších agentur – především několika tisíci kontakty na zaměstnance ministerstva pro vnitřní bezpečnost (DHS – Department of Homeland Security).

Opravdu to bylo tak jednoduché?

Zdaleka nejbizarnější je ale to, jak útočník vlastně přišel k databázi kontaktů. Pokud se leckdo pousmál nad chabým zabezpečením účtů premiéra Sobotky, měl by se mu okamžitě omluvit, standardy ve federálních institucích USA jsou totiž očividně úplně někde jinde, než na co jsme zvyklí z hollywoodských špionážních thrillerů.

Útočník nejprve ovládl elektronickou schránku jistého zaměstnance ministerstva spravedlnosti. Podrobnosti nesdělil, nabízí se ale hromada způsobů od tvrdého hackingu po nejrůznější formy toho sociálního.

Klepněte pro větší obrázek
Seznam interních zaměstnanců i smluvních pracovníků. Motherboard namátkově a pomocí telefonního hovoru ověřil, že se nejedná o smyšlené údaje.

Jakmile měl přístup k poštovní schránce, pokusil se přihlásit do informačního systému ministerstva, nicméně neznal heslo, a tak zatelefonoval na patřičné oddělení a podpoře vysvětlil, že je nový zaměstnanec, který potřebuje poradit s přihlášením. Nakonec získal generické heslo a dostal se do nitra federální instituce, aniž by jakkoliv věrohodně ověřil svoji totožnost.

Podle svých slov publikovaných na Motherboardu se poté mohl přihlásit k účtu oběti a jejímu terminálu. Útočník postupně stáhl na 200 GB dat a nakonec ze systému vydoloval i onen seznam pracovníků FBI a některých dalších organizací spřízněných s DOJ (Department of Justice).

Jelikož Motherboard ověřil, že přinejmenším některé kontakty na seznamu odpovídají skutečným analytikům, zdá se, že i zbytek příběhu bude pravdivý. Pokud tomu tak skutečně je, americká instituce systémově selhala hned v několika krocích a je náchylnější k sociálnímu hackingu, než by si leckdo pomyslel.

Erotika na webu PSP.cz

Sobotka se na přelomu roku stal obětí sociálního hackingu, možná si ale vzpomenete i na případ opravdového šlendriánství z roku 2012, kdy se na webu Poslanecké sněmovny objevil obsah, který bychom spíše čekali na některé z pornografických a warezových stránek na internetu.

Klepněte pro větší obrázek Klepněte pro větší obrázek Klepněte pro větší obrázek
Díky špatnému zabezpečení se na webu PSP.cz před pár lety objevila adresářová sktruktura některého z adminů. Pokud by se nejednalo o stránky zákonodárného sboru, bylo by to snad i legrační.

Zadáním konkrétní adresy se tehdy zobrazila složka s interními daty některého ze správců serveru psp.cz, který si ze sněmovny udělal své vlastní soukromé FTPko. Jelikož byly adresáře několik hodin volně přístupné a vedle pornografického obsahu a wearezu obsahovaly i interní zdrojové kódy a SQL dumpy databází, každý si mohl nastudovat, jak vlastně web psp.cz funguje, a využít toho při nějakém pozdějším útoku.

Ačkoliv se nakonec nic vážného nestalo, alarmující amatérismus na serveru zákonodárného sněmu otevírá otázku, jak jsou na tom asi weby a interní informační systémy dalších tuzemských institucí.

Nelze tedy než doufat, že pomalu končící Den bezpečnějšího internetu bude vzdělávací inspirací nejen pro děti a školy, kterým je primárně určený, ale i pro oddělení IT amerických DOJ, FBI ovšem i českých institucí.

Diskuze (17) Další článek: Google přestane používat Flash pro reklamy v roce 2017, přejde na HTML5

Témata článku: Web, Bezpečnost, FBI, Kontaktní údaje, PSP, Erotika, Interní zdroj, Sociální hacking, Twitterový účet, Telefonní hovor, Penis, Dump, SPEC, Kontakt, Homeland, Tisíc, Agent, Oběť, DHS, Federální instituce, Nový zaměstnanec, Speciál, Sofistikovaný hack, Sobotka, Úřad vlády


Určitě si přečtěte

Z rozmazané šmouhy krásná fotka. Takhle kouzlí nová umělá inteligence MyHeritage

Z rozmazané šmouhy krásná fotka. Takhle kouzlí nová umělá inteligence MyHeritage

** MyHeritage slibuje nejlepší neuronovou síť pro vylepšování fotek ** Funguje tím líp, čím horší fotku upravuje ** Otestovali jsme desítky různých snímků

Marek Lutonský, Lukáš Václavík | 39

Testy procesorů Intel Comet Lake pro desktopy jsou venku. Teď už je jasné, jakého dostaly Ryzeny soupeře

Testy procesorů Intel Comet Lake pro desktopy jsou venku. Teď už je jasné, jakého dostaly Ryzeny soupeře

** Embargo pro testy nových desktopových procesorů Comet Lake od Intelu skončilo ** Spousta recenzí a testů ukazuje výhody a nevýhody nových modelů ** Dokáží nové procesory konkurovat modelům od AMD?

Karel Javůrek | 47

Windy je laboratoř na počasí: 12 tipů, jak se ve službě vyznat a využít ji naplno

Windy je laboratoř na počasí: 12 tipů, jak se ve službě vyznat a využít ji naplno

** Předpověď počasí Windy nabízí nepřebernou škálu funkcí ** Zorientovat se v nich nemusí být vždy snadné ** Proto přinášíme 12 užitečných tipů a triků

Karel Kilián | 10

Deset kotev, které i v roce 2020 táhnou Android ke dnu

Deset kotev, které i v roce 2020 táhnou Android ke dnu

** Android existuje skoro 12 let a za tu dobu v mnoha směrech dospěl ** Dnes běží na sedmi z deseti telefonů, ale čemu za to vděčí? ** Našli jsme 10 kotev, které táhnou tento operační systém ke dnu

Karel Kilián | 169


Aktuální číslo časopisu Computer

Megatest: nejlepší notebooky do 20 000 Kč

Test 8 levných IP kamer

Jak vybrat bezdrátová sluchátka

Testujeme Android 11