© Ints Kalnins / Reuters
Le gouvernement chinois serait le coupable probable dans plusieurs hacks de haut niveau sur la Federal Deposit Insurance Corporation de 2010 à 2013, et les responsables de l’agence ont essayé de le couvrir, selon un nouveau rapport du Congrès.
Le rapport de mercredi publié par la Maison de la Commission des sciences, de l’espace et de la technologie de représentants, a cité un rapport de la FDIC interne qui a identifié Pékin comme un attaquant qui a compromis 12 ordinateurs et 10 serveurs à l’arrière-boutique de la FDIC.
« En substance, un gouvernement étranger a pénétré les ordinateurs du FDIC et les postes de travail des fonctionnaires de l’agence de haut niveau », y compris le président, chef de cabinet et conseiller général, dit le rapport.
L’enquête a déclaré que les attaques ont été couvertes dans le but de protéger la position du Président Martin Gruenberg de la FDIC, qui a pris ses fonctions en 2011.
« Le rapport intérimaire du comité met en lumière les efforts laxistes en matière de cybersécurité de la FDIC », a déclaré le président Lamar Smith (R-Texas). « L’intention du FDIC de se soustraire à la surveillance du Congrès est une infraction grave. »
Dans un récent examen interne, la FDIC a admis qu’il « n’a pas représenté avec précision l’ampleur du risque » au Congrès et que la tenue de documents « doit être améliorée. » L’agence affirme maintenant qu’elle est en train de mettre à jour ses politiques.
Gruenberg est convoqué devant le comité du Congrès jeudi pour expliquer la débâcle.
Le rapport arrive à un moment où l’accent est mis de plus en plus sur la cybersécurité, en particulier dans les domaines des finances et de la sécurité nationale.
Le rapport a également dit que la FDIC a une culture du secret qui a permis aux enquêteurs d’être induits en erreur. Un dénonciateur anonyme selon le rapport que Pittman « a instruit les employés de ne pas discuter … cette pénétration de gouvernement étranger du réseau de la FDIC » pour éviter de prendre le chemin de la confirmation de Gruenberg par le Sénat en Mars de 2012.
L’ambassade de Chine à Washington a dit à l’Associated Press qu’elle ne dispose pas d’informations détaillées sur les conclusions du rapport.
« La Chine est fermement opposée et est déterminée à lutter contre toutes les formes de cybercrimes», a déclaré le porte-parole de l’ambassade Zhu Haiquan dans un communiqué. « La Chine et les Etats-Unis ont déjà mis en place un mécanisme de dialogue conjoint de haut niveau sur la lutte contre la cybercriminalité et les questions connexes. Ceci est le meilleur canal pour les deux parties pour faire face à ce défi. Faire des accusations sans fondement est contre-productif. »
Traduction: Jean de Dieu MOSSINGUE
Source: RT
La FDIC a été piratée par la Chine, et le CIO a couvert
Les problèmes ont été découverts après que les employés partaient au large du lieu de travail avec des milliers de SSN sur les lecteurs flash.
Un rapport publié par le Comité de la Chambre sur la science, l’espace et la technologie d’aujourd’hui a révélé que les pirates censés être de la Chine avaient compromis les ordinateurs à la Federal Deposit Insurance Corporation à plusieurs reprises entre 2010 et 2013. Un malware Backdoor a été installé sur 12 postes de travail et 10 serveurs par les attaquants – y compris les postes de travail du président, du chef de cabinet et du conseiller général de la FDIC. Mais les incidents n’ont jamais été rapportés à l’équipe des États-Unis (Computer Emergency Response US-CERT) ou d’autres autorités, et ont été seulement mis en lumière après une enquête de l’inspecteur général dans une autre violation grave des données à la FDIC en Octobre 2015.
La FDIC a échoué au moment des attaques « de la menace persistante avancée » pour signaler les incidents. Puis l’inspecteur général à la FDIC, Jon Rymer, a fustigé les responsables de la FDIC pour avoir omis de suivre leurs propres politiques sur la violation des rapports. Une enquête plus approfondie sur ces violations a conduit le comité à conclure que l’ancien CIO de la FDIC Russ Pittman, a induit en erreur les vérificateurs quant à l’ampleur de ces violations, et a dit aux employés de ne pas parler des violations par un gouvernement étranger afin de ne pas ruiner les chances de confirmation du Président Martin Gruenberg à la FDIC.
La cascade de mauvaises nouvelles a commencé par l’enquête de l’Inspecteur général (OIG un Bureau FDIC de) en Octobre dans l’« incident de la Floride. » Le 23 Octobre, 2015, un membre de la sécurité de l’information de la Federal Deposit Insurance Corporation et de la protection du personnel (ISPS) ont découvert des preuves dans le système de prévention des pertes de données de la FDIC d’une violation importante des données sensibles, de plus de 1200 documents, y compris les numéros de sécurité sociale à partir des données de la banque pour plus de 44.000 personnes et 30.715 banques, ont été copiés sur une clé USB par un ancien employé du bureau de Supervision de la gestion des risques de la FDIC à Gainesville, en Floride. L’employé avait copié les fichiers avant de quitter son poste à la FDIC. Malgré l’interception de l’employé, les données réelles n’ont pas été retrouvées sur lui jusqu’au 25 Mars 2016. L’ancien employé a fourni une déclaration sous serment qu’il n’a pas diffusé l’information, et l’affaire a été abandonnée.
Cependant, Gruenberg a dit la science, l’espace et le président du Comité de la technologie Rep. Lamar Smith (R-Texas), dans une lettre en Février au sujet de la violation que seuls environ 10.000 « personnes et entités » ont été affectées par la fuite, et que l’ancien employé était coopératif. Cette affirmation a été contredite par le Bureau de l’inspecteur général de la FDIC, après avoir utilisé cette violation d’un audit de sécurité des processus de la FDIC indiquant que le nombre réel était plusieurs fois plus grand, et qu’il y avait d’autres violations qui n’ont pas été signalées. L’une d’entre elles était une violation semblable en Septembre quand un employé mécontent à New York est parti avec une clé USB contenant les SSNs d’environ 30.000 personnes. Cette violation a été passée sous silence par les DSI la FDIC, Lawrence Gross, et avait seulement été mentionné dans un rapport annuel de la Loi sur la gestion de la sécurité (Federal Information FISMA), en dépit de son classement comme une violation «importante». Cela a été en plus d’un rapport semblable de la violation en Février quand un autre employé au départ au Texas » par inadvertance et sans intention malveillante » a téléchargé 44.000 enregistrements.
Puis, en mai, la FDIC « a rétroactivement rapporté cinq grandes violations supplémentaires » au comité, selon le rapport. Seulement après une audience du Congrès sur ces violations, les services de surveillance du crédit d’offre de la FDIC a été faite aux plus de 160.000 personnes dont les renseignements personnels ont été inclus dans les données de la fuite.
Le rapport du comité accuse Gross qui a repris en 2015 après que l’ancien CIO de la FDIC Barry Ouest ait disparu du « congé administratif » en Juin de l’année dernière pour des raisons inconnues de créer un «lieu de travail toxique» pour l’informatique de l’équipe de la FDIC, et de saboter les efforts pour améliorer le pied de la sécurité de l’agence. Près de 50 pour cent des employés de la FDIC peuvent utiliser des dispositifs de stockage portables tels que les lecteurs USB ou des disques durs portables, et la seule chose assurant FDIC que les données n’ont pas été diffusée par d’anciens employés sont les affidavits signés. Gross est aussi la force motrice derrière une initiative visant à acheter 3000 ordinateurs portables pour les employés de la FDIC, arguant que les ordinateurs portables sont plus sûrs que les ordinateurs de bureau.
Traduction JDDM
Source: http://arstechnica.com/security/2016/07/fdic-was-hacked-by-china-and-cio-covered-it-up/