Предупреждение от ФБР: Китайски хакери компрометираха Outlook акаунти на служители на американски правителствени агенции

В съвместното изявление на CISA и ФБР, публикувано на 12 юли 2023 г., федералните агенции потвърждават, че  напреднали постоянни заплахи (APT) са успели да получат достъп и да изтеглят данни от Exchange Online Outlook, които включват информация от имейл акаунти на служители на американското правителство. Новината беше потвърдена и от технологичния гигант Microsoft, който продължава да работи за смекчаване на атаката. Технологичният гигант идентифицира хакерската организация, която произхожда от Азия и е специализирана в атаки срещу правителствени агенции в западния свят. Microsoft смята, че атаката е дошла от известната китайска хакерска група, наречена Storm-0558.

За киберинцидента първа съобщи Федералната агенция на гражданското изпълнително ведомство (FCEB). Те са установили подозрителна дейност в облачната среда на Microsoft 365 на организацията и са докладвали за нея на CISA, ФБР и Microsoft. Хакерите са успели да получат неоторизиран достъп до имейл акаунти на клиенти, които използват Outlook Web Access в Exchange Online (OWA) и дори Outlook.com.

Престъпниците са имали достъп до сървърите за електронна поща от средата на май. Те са се справили с това, като са подправили токени за удостоверяване, за да получат достъп до потребителската електронна поща. От Microsoft смятат, че всички данни, откраднати от извършителите, не са класифицирани, въпреки че хакерите са се насочили конкретно към имейл акаунтите на високопоставени лица, като например членове на Камарата на представителите. Самоличността и партийната принадлежност на набелязаните избрани служители не са публично оповестени.

Microsoft започна да разследва аномалната активност на пощата, след като клиенти, включително FCEB, съобщиха за проблема. Разследването заключи, че на 15 май 2023 г. китайците са успели да си проправят път до имейл акаунти, засягащи десетки организации, включително някои правителствени агенции и акаунти на лица, свързани с целевите организации. Microsoft започна да се свързва със засегнатите страни и проблемът беше официално разрешен – всички засегнати клиенти на Microsoft бяха информирани за инцидента със сигурността. Въпреки че компанията продължава разследването, изтичането на данни е спряно.

Хакерската атака е била подкрепена с големи ресурси и е била насочена единствено към шпионаж. Няма съобщения за искания на откуп от страна на хакерската организация, така че атаката вероятно е държавно обусловена. Такива атаки често се смятат за част от шпионските усилия между световни суперсили като САЩ и Китай. Ройтерс съобщи, че посолството на Китай в Лондон отрича да е замесено в киберинцидента и нарича новината „дезинформация“. Китайците също така заявиха, че САЩ са най-огромната хакерска империя в света и нарекоха страната „глобален киберкрадец“.