I dati sottratti all'FBI in un recente attacco informatico sono andati oltre le informazioni di contatto di oltre 60.000 agenti e funzionari: includevano anche dettagli riservati di analisi del sangue e delle urine, come riportato dalla BBC venerdì.

Il gruppo di black-hat hacker ShinyHunters ha ottenuto le visite mediche di "idoneità al lavoro", comprendenti i fascicoli di un agente, un candidato agente e funzionari di alto livello, tra cui direttori vicini. I documenti contengono note dei medici e condizioni mediche specifiche, come un'"allergia a crostacei e banane" e "colesterolo alto". Erano incluse anche informazioni sul coniuge di un agente. Il gruppo ha condiviso campioni dei dati rubati insieme alle proprie richieste di ricatto.

Secondo il report, l'esposizione potrebbe lasciare gli agenti vulnerabili a truffe, ricatti e attacchi mirati, e potrebbe rendere più facile impersonificare gli appartenenti alle forze dell'ordine.

"L'elenco associa migliaia di agenti ai loro archivi medici e di idoneità fisica", ha dichiarato alla BBC Etay Maor, vice presidente threat intelligence di Cato Networks. "Le password possono essere reimpostate se rubate, ma gli archivi medici no, quindi una volta che questi dati sono fuori, restano compromessi per sempre. È proprio questa permanenza, applicata all'intera forza lavoro, che rende questa fuga di dati così grave."

"Dati di questo tipo potrebbero essere usati per phishing estremamente convincenti, impersonificazioni, frodi d'identità, ricatti o persino operazioni mirate al personale delle forze dell'ordine, rendendo le potenziali implicazioni particolarmente serie", ha detto Jamiehtar, co-fondatore di CyberSmart.

L'FBI finora ha riconosciuto solo la violazione. Non ha dettagliato come sia avvenuta, ma afferma di starla "indagando con intensità".

In modo insolito, gli hacker non chiedono denaro, ha notato la BBC. Chiedono invece il ritiro di un avviso dell'FBI pubblicato a maggio, che secondo loro li ha "offesi". Le campagne di ricatto sono in genere incentrate sul pagamento, il che rende una richiesta legata al ritiro di un avviso ufficiale governativo una rottura significativa rispetto allo schema abituale delle estorsioni a scopo di lucro.

Reuters ha riportato che alcuni dei dati violati includevano informazioni su agenti coinvolti in indagini su Russia, Cina e cartelli della droga. 404 Media ha riportato che i dati potrebbero anche aver esposto una poco nota unità di hacking dell'FBI con un team segreto.

Gli hacker hanno detto ai giornalisti che pubblicheranno le informazioni entro cinque giorni se le loro richieste non saranno soddisfatte. I documenti sembrano riguardare migliaia di agenti, inclusi funzionari di alto livello come direttori vicini. Quella finestra di cinque giorni fissa un cronometro concreto su cosa osservare: se l'FBI rivelerà altro su come i suoi sistemi sono stati accessi, se la presunta falla PeopleSoft sarà verificata, e se il gruppo eseguirà la sua minaccia di pubblicazione.

Il professor Ciaran Martin, ex responsabile del National Cyber Security Centre del Regno Unito, ha descritto l'attacco — se confermato — come "gravissimo quanto possibile in materia di violazioni di dati".

Secondo gli hacker, hanno trovato una vulnerabilità in un sistema di archiviazione cloud Oracle PeopleSoft utilizzato dall'FBI — un'affermazione che l'agenzia non ha verificato. PeopleSoft è una piattaforma software aziendale acquisita da Oracle nel 2005 che grandi organizzazioni,use agenzie governative, usano ampiamente per gestire le risorse umane e i fascicoli dei dipendenti, quindi qualsiasi falla confermata attirerebbe l'attenzione delle numerose istituzioni che la utilizzano. Oracle è l'azienda co-fondata e attualmente guidata da Larry Ellison, grande sostenitore del presidente Donald Trump.

La BBC ha riferito che gli aggressori sono riusciti ad accedere a più piattaforme, tra cui FBIJobs; FBI BEAST, che gestisce le verifiche dei precedenti di dipendenti e candidati; FBI MedLink, che conserva gli archivi medici; e FBI BICS, che contiene informazioni investigative. Nel loro complesso, i sistemi coprono reclutamento, selezione del personale, dati sanitari e informativi all'interno di un unico insieme di piattaforme compromesse.