Hackergrupp: Har stulit känsliga hälsouppgifter om alla FBI-agenter

Hackergruppen Shinyhunters påstår sig ha stulit extremt känslig information om 38 000 FBI-anställda, däribland resultat av blod- och urinprov. Det rapporterar Reuters och BBC. Om uppgifterna stämmer handlar det om ett av de allvarligaste dataintrången mot en federal myndighet i USA:s historia.

– Det här är så allvarligt det kan bli när det gäller dataintrång, säger Ciaran Martin, professor vid Oxfords universitet och tidigare chef för Storbritanniens nationella cybersäkerhetscentrum, till BBC.

Hälsouppgifter av det här slaget betraktas som särskilt känsliga eftersom de, till skillnad från lösenord eller kontonummer, inte går att ändra. Ett blodprov kan avslöja sjukdomar, läkemedelsanvändning och genetiska markörer. I händerna på en främmande makt eller kriminell aktör skulle uppgifterna kunna användas för att kartlägga, pressa eller utpressa enskilda agenter.

För FBI, som ansvarar för kontraspionage och terroristbekämpning, skulle en läcka dessutom kunna äventyra identiteten på anställda som arbetar under täckmantel. Bland de 38 000 anställda som uppges vara drabbade finns specialagenter som arbetar med allt från organiserad brottslighet till terrorism och kontraspionage.

Uppgiften om 38 000 drabbade väcker också frågor om hur många som faktiskt omfattas. FBI har enligt egna uppgifter cirka 35 000 anställda, varav drygt 13 000 är specialagenter. Skulle siffran stämma innebär det att i stort sett hela myndighetens personalstyrka, inklusive civilanställda, kan finnas i det stulna materialet.

FBI har ännu inte officiellt kommenterat uppgifterna. Det är oklart om materialet har publicerats eller sålts vidare.

Shinyhunters är ingen okänd aktör. Gruppen har varit aktiv sedan omkring 2020 och tillskrivs en rad uppmärksammade dataintrång, bland annat mot teleoperatören AT&T, där uppgifter om miljontals kunder exponerades, samt mot den indonesiska e-handelsjätten Tokopedia och den kanadensiska bokplattformen Wattpad. Stulna databaser har vid flera tillfällen sålts vidare på dark web, vilket gjort Shinyhunters till en av de mest produktiva aktörerna på marknaden för stulna personuppgifter.

Att en grupp med det avtrycket nu uppger sig ha tagit sig in i FBI:s system väcker frågor om myndighetens interna säkerhet. Men det är inte första gången som federala myndigheter drabbas. År 2015 utsattes den amerikanska personalmyndigheten OPM för ett omfattande intrång där uppgifter om över 20 miljoner nuvarande och tidigare anställda stals. Fem år senare avslöjades SolarWinds-attacken, där misstänkta ryska hotaktörer via ett mjukvaruföretag fick tillgång till system hos flera federala myndigheter.

Det som gör det aktuella fallet unikt är typen av data. Blod- och urinprov är inte bara personuppgifter utan medicinska bevis som kan knytas till en individ med hög precision. Med hjälp av sådana prover går det att bygga en detaljerad bild av en persons hälsa, levnadsvanor och eventuella beroende – uppgifter som är direkt olämpliga att hamna i orätta händer.

Experter inom cybersäkerhet betonar att den fulla omfattningen av ett intrång sällan är känd från start. Hotaktörer kan ha haft tillgång till systemen under lång tid innan de avslöjar sig, och uppgifter kan ha kopierats i omgångar. Det innebär att skadebedömningen kan komma att växa under de kommande veckorna.

För cybersäkerhetsbranschen blir avslöjandet ytterligare en påminnelse om att skyddet av känsliga register ofta släpar efter hotbilden. Efterfrågan på säkerhetslösningar för myndigheter och hälsoorganisationer har ökat kraftigt, men samtidigt blir attackerna allt mer sofistikerade. Flertalet av de största intrången under senare år har kopplats till statsstödda aktörer, men Shinyhunters tillhör den växande kategorin rent kriminella nätverk som säljer stulna uppgifter till högstbjudande.

Huruvida uppgifterna är äkta eller om de kan knytas till en verklig databas återstår att fastställa. Det förekommer att grupper överdriver eller fabricerar påståenden för att få uppmärksamhet. Men den ovanligt detaljerade uppgiften om blod- och urinprov, liksom gruppens historia av verkliga intrång, gör att experter tar hotet på allvar.

I slutändan handlar det om förtroendet för myndigheternas förmåga att skydda sina egna anställda. Om Shinyhunters påstående visar sig stämma, innebär det inte bara en integritetskatastrof för tusentals FBI-anställda utan också en strategisk förlust för USA:s underrättelseförmåga.