Хакерска извадка от ФБР назовава служители от звена срещу Китай и Русия

🇺🇸 База данни на ФБР с 5000 записа, до която хакерската група ShinyHunters твърди, че се сдобила с достъп, свързва поименно десетки служители с чувствителни звена. Сред тях са структури за работа срещу разузнаванията на Русия, Китай, Иран и Хизбула, заедно с прихващане на комуникации, тайни технически операции и работа с човешки източници. Reuters съобщи за съдържанието на извадката на 23 септември, след като сравни част от записите с кредитни досиета и по-рано изтекли данни.

Всеки запис съдържа име, адрес, телефон, дата на раждане, номер на социално осигуряване и лице за контакт при спешност – обикновено близък като съпруг, съпруга или дете. Посочено е още служебното назначение: териториалното поделение, а при част от записите – конкретното звено. Според хакерите таблицата е малка част от архив с обем 2-3 терабайта, който съдържа сведения за хиляди настоящи и бивши служители.

Reuters не успя да удостовери цялата таблица, но потвърди записите за над 22 души, сравнявайки кредитни досиета и изтекли бази данни, съхранявани от District 4 Labs – платформа за разузнавателна информация от тъмната мрежа. При 8 души агенцията е установила и съвпадение между посочената длъжност и публично достъпна информация: съдебни документи, публикации в пресата, LinkedIn профили и снимки в Instagram. Reuters не може да установи дали всички назначения са действителни и актуални.

Голяма част от записите съдържат обща служебна информация, която служителите биха могли да споделят публично: например агент в поделение в Балтимор или Нюарк. Други обаче назовават звена с чувствителни задачи, за част от които според Reuters досега не е имало публична информация.

14 души са посочени като служители, които работят по Китай, сред които има и представители на звеното за китайски престъпни структури, звеното за анализ на трансфера на технологии към Китай и секцията за китайското разузнаване. 9 души са посочени на длъжности, свързани с работата по Русия: двама в секция за операции срещу Русия и 1 в направлението за руски заплахи за технологии и критична инфраструктура. 3 души са вписани като работещи по Иран или Хизбула.

Други 18 души са посочени в структури за прихващане на данни и телекомуникации, в звеното за секретни технически операции, секцията за таен достъп или звена за видео-, аудио- и електронно наблюдение. Още 11 се отнасят до работа с човешки източници, някои от тях – със секцията за управление на тази програма. Изброените категории правят сбор от 55 души, чиито имена таблицата свързва с чувствителни служебни назначения. Извадката засяга и работата срещу наркокартели, но Reuters не посочва брой по въпросното направление.

Ерик О’Нийл, бивш служител в контраразузнаването във ФБР и основател на компанията за киберсигурност Nexasure AI, определя масива като „златна мина за чуждо разузнаване“. „Китай би имал огромен интерес да разбере кои хора работят срещу него“, категоричен е той. О’Нийл очаква интерес да имат и други вражески разузнавателни служби, както и от недоволни екстремисти в САЩ. „Ако бях попаднал в този списък, щях да съм много притеснен.“

Тревър Хилигос, бивш военен следовател, работил с ФБР, а към настоящия момент – главен разузнавателен директор на SpyCloud, смята за най-опасно свързването на дадени имена с работата с човешки източници. Той припомня случаи на агенти под прикритие, пострадали след други подобни разкрития. Хилигос обърна внимание и на допълнителния риск за близките, вписани като лица за контакт при спешност: те може да са по-слабо запознати с правилата за сигурност от роднината си, който изпълнява чувствителни задачи.

ФБР заяви, че е наясно с „киберпрестъпна групировка, която твърди, че е компрометирала онлайн портала FBIJobs.gov“, засягайки лични данни на служители. Причината за конкретния пробив изглежда все още не е установена. Бюрото заявява, че разследва „активно и енергично“.

В съобщение в X ФБР уточни, че проверява дали са засегнати собствените му системи, или тези на външни доставчици, поддържащи портала за набиране на персонал. Бюрото работи с доставчиците за редуциране на риска. На 22 септември порталът и страницата относно кандидатите за специални агенти бяха временно недостъпни.

ShinyHunters твърди, че има достъп до значително повече информация. Тя твърди, че в понеделник вечерта е проникнала през уязвимост в облачно хранилище на Oracle, използвано от ФБР. Оттам успяла да достигне до BEAST – система за проверки на служители и кандидати, до MedLink, където се съхраняват медицински досиета на агенти, и до BICS, която съдържа данни от разследвания.

Пред Reuters групата заяви, че разполага с документи от проверки на служители, договори с компании за извършване на проверки за благонадеждност, и медицински данни на агенти на бюрото. Освен това заяви пред BBC, че притежава данните на целия персонал на ФБР, който наброява 38 000 души. Тези по-широки твърдения не са потвърдени в представените сведения. BBC също е видяла част от записите, но оценката ѝ е единствено, че те изглеждат автентични.

Обявеното искане на хакерите не е за пари. Те настояват ФБР да оттегли публично предупреждение, публикувано на 15 май 2026 г. след атаката срещу образователната платформа Canvas. Групата дава едноседмичен срок и заплашва след изтичането му да публикува пълните бази данни.

В предупреждението ФБР описва ShinyHunters като група, която краде милиони клиентски записи наведнъж и използва „реални или преувеличени твърдения“ за достъпа ѝ до чувствителна информация, за да принуди жертвите да платят. Бюрото описва заплашителни съобщения и обаждания до жертвите и семействата им, а в някои случаи и сватинг – подаване на фалшив сигнал, за да бъде изпратен въоръжен полицейски екип на адреса на жертвата. Таблицата, с която групата сега притиска ФБР, съдържа именно адреси на служители и контакти на техни близки.

В сряда ShinyHunters заяви, че няма да предоставя още файлове и се опитва да ограничи разпространение на личните данни. „Ако 5000-те записа от извадката изтекат, това няма да е заради нас“, пишат хакерите.

ShinyHunters е международна група за изнудване чрез кражба на данни, за която се смята, че е възникнала във Франция. През април 2026 г. групата пое отговорност за кражба на милиони бизнес записи от Rockstar Games, създателя на „Grand Theft Auto“ (GTA). През май нейната атака срещу Canvas компрометира учебния процес в американските училища. Синтия Кайзър, бивш служител на ФБР, определя подобни пробиви като „изключително вредни“, защото престъпниците могат да използват данните, за да установят самоличността на хората, които ги разследват, и да ги притиснат.

Един от най-тежките прецеденти, свързани с кражба на такива данни е пробивът през 2015 г. в Службата за управление на персонала на федералното правителство на САЩ (OPM), при която социалноосигурителните номера на 21,5 млн. души, преминали проверка за благонадеждност, наред с 5,6 млн. комплекта пръстови отпечатъци, бяха откраднати. Тогавашният директор на Националното разузнаване на САЩ Джеймс Клапър посочи Китай като „главния заподозрян“. Досиетата съдържаха сведения за роднини, чуждестранни връзки и финансово състояние на хора с достъп до класифицирани данни.

Извадката на ShinyHunters включва хиляди пъти по-малко хора от засегнатите при пробива в OPM. Особено чувствително в нея е свързването на личните данни с посочени служебни назначения, въпреки че не е ясно доколко са актуални те. Различен е също начинът, по който информацията беше разпространена: архивите на OPM бяха изнесени тайно, докато сегашната извадка вече е предоставена на журналисти, докато самата група допуска, че тя може да стане публична и без нейно участие.

Това значи, че евентуално отстъпление на ФБР пред искането на хакерите не може да премахне само по себе си контраразузнавателния риск. Той зависи преди всичко от това доколко достоверни и актуални са изтеклите данни, от разпространението на копията и от това дали файлът ще попадне у служби, способни да го съпоставят с пътувания, контакти и публични профили на агентите.

Изтичането на обявения едноседмичен срок в края на септември ще бъде ключов момент за проследяване: дали пълните бази или извадката ще се появят във форуми за изтекли данни и дали ФБР ще изясни откъде е дошъл пробивът. Евентуално уведомяване на засегнатите служители или промени в назначенията им биха показали, че бюрото предприема защитни мерки. Сами по себе си обаче тези действия не биха доказали автентичността на целия масив.