FBI系统被黑客攻破，一个追捕黑客的机构自己先“破防”了

#9月·每日幸运签#

9月22日，一个叫ShinyHunters的黑客组织在暗网上发消息，说他们成功入侵了美国联邦调查局（FBI）的系统，窃取了大量在职和离职员工的个人数据，并把FBI的招聘网站首页改了，上面写着“网站已被ShinyHunters劫持”。FBI的回应很简短：正在调查，没否认也没确认。

这件事本身已经够魔幻了。FBI是什么机构？它是美国最重要的执法和情报机构之一，负责调查各类网络犯罪和国家安全威胁。就是这样一个机构，被一个黑客组织“抄了家”。

根据404 Media的报道，ShinyHunters向记者提供了一份被盗数据的样本，大约5000条记录，里面包括FBI员工的全名、家庭住址、个人电话号码、出生日期，有些甚至还包含配偶的详细信息。路透社核实了部分数据，把电话号码、姓名、地址跟信用局记录和暗网情报公司District 4 Labs保存的过往泄露数据做了交叉比对，在至少10起个案中找到了匹配，其中甚至包括FBI局长卡什·帕特尔的相关信息。

ShinyHunters是怎么进来的？他们利用了Oracle PeopleSoft软件的一个此前不为人知的漏洞，这是一种企业常用的人力资源管理工具，FBI用它来管理招聘和员工信息。攻破这个入口之后，黑客又横向移动到了亚马逊AWS的政府云服务器上，下载了2到3TB的数据。

有一点值得注意，ShinyHunters说这次攻击“不是为了钱”。这跟一般的勒索黑客不太一样。事情要追溯到今年5月，FBI发布了一份公开警告，详细描述了ShinyHunters的作案手法，还建议目标组织不要支付赎金。ShinyHunters认为FBI在公告里“造谣”，要求FBI在一周之内撤回或修改这份公告。他们这次入侵FBI，更像是一次“报复性行动”。

有人把这比作2015年的Ashley Madison事件，当时那个婚外情交友网站被黑，大量用户数据曝光，直接导致了许多家庭破裂，网友开玩笑说“这次泄露之后，FBI大概也会有很多离婚案”。还有人质疑黑客的动机：“说不为了钱，那你们把特朗普-爱泼斯坦的文件放出来啊。”也有人泼冷水：“篡改网站首页不等于入侵了系统，目前我们看到的东西和黑客声称的影响之间还有很大的验证鸿沟。”

曾在FBI工作过的辛西娅·凯泽现在在网络安全公司Halcyon担任高级副总裁，她说这类泄露“极其有害”，因为犯罪分子可以利用这些信息来威胁和施压那些正在调查他们的人。她提到一个细节：2016年的一次旧泄露，到今天仍然偶尔被用来骚扰FBI探员。“信息一旦被盗，它就会被永远利用下去。”

这件事真正值得深思的地方在哪里？FBI本身是负责调查网络犯罪的机构，是追捕ShinyHunters这类黑客组织的主要力量。但讽刺的是，FBI在追捕黑客的同时，自己的招聘系统却没有及时打上漏洞补丁。安全专家分析，ShinyHunters今年6月就曾利用PeopleSoft的一个零日漏洞攻击过教育机构，Oracle随后发布了修复补丁。如果FBI的系统没有及时更新，或者黑客找到了新的入口，那就说明连执法机构自身的安全管理也存在明显短板。

更深层的问题是，FBI员工的家庭住址、电话、配偶信息一旦落入外国情报机构或犯罪组织手中，后果可能非常严重。这些信息可以用来对探员进行去匿名化，可以对他们的家人施压，也可以用来钓鱼攻击。Politico的报道援引知情人士的话说，调查人员认为这次泄露是“一次重大的反间谍失败”。

这不是FBI今年第一次被黑了。今年4月，有黑客入侵了FBI用于管理窃听和情报监视令的敏感系统。3月，FBI局长的个人邮箱也被与伊朗有关的黑客组织攻破。接二连三的入侵说明一个现实：在网络攻防这件事上，没有哪个机构是绝对安全的，哪怕它是FBI。

ShinyHunters这个组织本身也很有意思。它至少从2019年就开始活动，最初靠倒卖数据库起家，后来发展成专门利用云服务漏洞进行数据窃取和勒索的团伙，跟Scattered Spider、LAPSUS$等知名黑客组织有交叉关系。他们今年攻击过的目标包括Salesforce、Snowflake等大型科技公司，还有教育平台Canvas。现在他们把矛头对准了FBI，不管这次攻击的最终结果如何，光是“FBI被黑了”这件事本身，就已经让这个组织在黑客圈子里的名声大涨。网络安全公司Flashpoint的分析师说：“这次攻击提升了ShinyHunters作为可信威胁的声誉。”

截至现在，FBI还没有公布调查结果，被泄露的数据到底有多少、影响范围有多大，都还不清楚。ShinyHunters给了FBI一周时间撤回公告，接下来的几天可能会有新的进展。

当我们把自己的姓名、住址、电话、工作信息交给各种机构的时候，默认它们是安全的。但FBI这件事告诉我们，连负责追捕黑客的机构都没能守住自己员工的数据。那些掌握了大量用户信息的部门，真的准备好了吗？