L’intrusion du réseau DHS a été jugée faussement positive à deux reprises avant que la violation ne soit confirmée.
Le personnel du ministère de la Sécurité intérieure a rejeté à deux reprises les signes de cyber-intrus à l’intérieur du réseau d’information sur la sécurité intérieure de l’agence, les qualifiant d’activités inoffensives, permettant aux pirates de rester indétectables à l’intérieur pendant des semaines et finalement de voler des fichiers d’identification, selon un relevé d’incident interne consulté par Nextgov/FCW.
HSIN a été piraté il y a environ deux mois, Nextgov/FCW signalé pour la première fois fin juin. Le réseau héberge des données sensibles et non classifiées partagées entre des organisations partenaires fédérales, étatiques, locales, industrielles et étrangères.
Les enquêteurs du département n’ont toujours pas déterminé l’affiliation des pirates informatiques, selon deux personnes au courant d’une enquête en cours sur l’incident. Le DHS pourrait envoyer du personnel informer le Congrès sur le piratage dans un cadre classifié dans les semaines à venir, ont ajouté les personnes, qui ont parlé sous couvert d’anonymat pour communiquer la réflexion du département.
Entre le 15 et le 24 mai, l’infiltration a été détectée par des analystes de la FEMA, où ils ont observé que les pirates avaient modifié des fichiers sur des serveurs de test et en direct, utilisé un programme de serveur Web légitime pour exécuter du code malveillant et supprimé des journaux d’activité qui auraient pu révéler leurs mouvements, selon le relevé. L’activité a été jugée faussement positive.
Entre le 25 mai et le 3 juin, les pirates ont utilisé des méthodes similaires visant à ne laisser aucune trace de leur activité, déclenchant ainsi de nouvelles alertes qui ont été à nouveau considérées comme inoffensives. Le 4 juin, ils ont installé des portes dérobées cachées et volé des données d’identification – généralement utilisées pour vérifier l’identité des utilisateurs et accorder l’accès à des comptes ou des systèmes – où le personnel a ensuite déclaré qu’une violation était active.
On ne sait pas pourquoi l’intrusion a été jugée bénigne à deux reprises sur une période aussi longue, mais l’incident montre à quel point une évaluation erronée peut donner aux pirates informatiques beaucoup plus de temps pour approfondir leur accès à l’environnement d’une cible. Le piratage impliquait des techniques destinées à masquer l’activité comme étant normale, ce qui, d’une manière générale, peut rendre très difficile pour les analystes de déterminer ce qui est légitime ou non, a déclaré l’une des sources.
On ne sait pas non plus quels documents, le cas échéant, ont été copiés à partir des systèmes HSIN, bien que le fait que les pirates aient ciblé les fichiers d’identification indique qu’ils cherchaient à accéder à des comptes ou à des systèmes au-delà de ce qu’ils pouvaient initialement atteindre.
« Le ministère de la Sécurité intérieure est au courant d’un récent cyber-incident impliquant un environnement de partage d’informations spécifique et non classifié », a écrit un porte-parole du DHS dans la même déclaration qu’il a fournie plus tôt ce mois-ci, confirmant le piratage. « Nous avons immédiatement pris des mesures pour isoler les systèmes concernés, atténuer la vulnérabilité et lancer une enquête médico-légale complète. Rien n’indique que des réseaux classifiés ont été touchés et le système reste opérationnel pour nos partenaires. Comme il s’agit d’une enquête en cours, nous ne pouvons pas fournir plus de détails opérationnels pour le moment. »
Les utilisateurs approuvés s’appuient sur le réseau pour accéder en toute sécurité aux données, échanger des demandes avec des agences partenaires, coordonner la sûreté et la sécurité des événements planifiés, répondre aux incidents et partager les informations nécessaires à la protection de leurs communautés, selon son site Web.
HSIN a été utilisé pour soutenir les matchs de la Coupe du monde en cours et les récents événements America250, a déclaré le vice-président du Comité sénatorial du renseignement, Mark Warner, D-Va., dans un communiqué après que la violation a été signalée.
« Les informations contenues dans HSIN, bien que non classifiées, sont très sensibles et leur exposition met en danger la sécurité nationale », avait-il déclaré à l’époque.
Alors que les États-Unis accueillent des matchs de la Coupe du monde dans tout le pays, le piratage pourrait soulever des questions quant à savoir si les intrus ont eu accès aux plans de sécurité, aux communications inter-agences ou aux plans d’intervention d’urgence pour l’un des événements sportifs les plus visibles au monde. Il est également possible que les données de la Coupe du monde ne soient pas une cible.
Les pirates informatiques d’État et criminels ciblent régulièrement les systèmes américains pour recueillir des renseignements, voler des informations sensibles et maintenir l’accès aux réseaux gouvernementaux. En février, une violation présumée d’un système de surveillance du FBI, liée à la Chine, a probablement révélé les numéros de téléphone des personnes surveillées par le bureau. L’automne dernier, une violation généralisée au sein de la FEMA a permis aux pirates informatiques de s’emparer des données des employés du bureau de gestion des catastrophes et des douanes et de la protection des frontières américaines.
