0
0
Centenas de milhares de arquivos potencialmente sensíveis de departamentos de polícia nos Estados Unidos vazaram online na semana passada. A coleção, apelidada de “BlueLeaks” e que tornou pesquisável on-line, decorre de uma falha de segurança em uma empresa de design web e hospedagem do Texas que mantém uma série de portais de compartilhamento de dados da aplicação da lei estadual.
A coleção — quase 270 gigabytes no total — é o mais recente lançamento de Distributed Denial of Secrets (DDoSecrets), uma alternativa ao Wikileaks que publica caches de dados anteriormente secretos.
Uma captura de tela parcial do cache de dados do BlueLeaks.
Em um post no Twitter,dDoSecrets disse que o arquivo blueleaks indexa “dez anos de dados de mais de 200 departamentos de polícia, centros de fusão e outros recursos de treinamento e suporte da aplicação da lei”, e que “entre as centenas de milhares de documentos estão relatórios policiais e do FBI, boletins, guias e muito mais”.
Os centros de fusão são entidades estatais e operadas que reúnem e divulgam informações sobre a aplicação da lei e a segurança pública entre parceiros estaduais, locais, tribais e territoriais, federais e privados.
A KrebsOnSecurity obteve uma análise interna de 20 de junho pela National Fusion Center Association (NFCA), que confirmou a validade dos dados vazados. O alerta da NFCA observou que as datas dos arquivos no vazamento na verdade se estendem por quase 24 anos — de agosto de 1996 a 19 de junho de 2020 — e que os documentos incluem nomes, endereços de e-mail, números de telefone, documentos PDF, imagens e um grande número de arquivos de texto, vídeo, CSV e ZIP.
“Além disso, o despejo de dados contém e-mails e anexos associados”, diz o alerta. “Nossa análise inicial revelou que alguns desses arquivos contêm informações altamente confidenciais, como números de roteamento da ACH, números de contas bancárias internacionais (IBANs) e outros dados financeiros, bem como informações pessoalmente identificáveis (PII) e imagens de suspeitos listados em Pedidos de Informações (RFIs) e outros relatórios de aplicação da lei e agências governamentais.”
A NFCA disse que parece que os dados publicados pelo BlueLeaks foram tomados após uma falha de segurança na Netsential, uma empresa de desenvolvimento web com sede em Houston.
“A análise preliminar dos dados contidos neste vazamento sugere que a Netsential, uma empresa de serviços web usada por vários centros de fusão, aplicação da lei e outras agências governamentais nos Estados Unidos, foi a fonte do compromisso”, escreveu a NFCA. “A Netsential confirmou que esse compromisso provavelmente foi resultado de um ator de ameaças que aproveitou uma conta de usuário do cliente Da Netsential comprometida e o recurso de upload da plataforma web para introduzir conteúdo malicioso, permitindo a exfiltração de outros dados do cliente da Netsential.”
Contatado por telefone na noite de domingo, o diretor da Netsential, Stephen Gartrell, recusou-se a comentar esta história.
A NFCA disse que uma variedade de atores de ameaças cibernéticas, incluindo estados-nação, hacktivistas e cibercriminosos com motivação financeira, podem tentar explorar os dados expostos nesta violação para atingir centros de fusão e agências associadas e seu pessoal em vários ataques e campanhas cibernéticas.
O conjunto de dados do BlueLeaks foi lançado em 19 de junho, também conhecido como “Juneteenth”, a mais antiga comemoração nacionalmente celebrada do fim da escravidão nos Estados Unidos. A observância da data deste ano gerou um interesse público renovado na esteira de protestos generalizados contra a brutalidade policial e da morte filmada de George Floyd nas mãos da polícia de Minneapolis.
Stewart Baker, advogado do escritório de Steptoe & Johnson LLP de Washington e Johnson LLP e ex-secretário assistente de política do Departamento de Segurança Interna dos EUA,disse que os dados do BlueLeaks dificilmente lançarão muita luz sobre a má conduta policial, mas podem expor investigações sensíveis da aplicação da lei e até mesmo colocar vidas em risco.
“Com esse volume de material, é provável que haja compromissos de operações sensíveis e talvez até fontes humanas ou policiais disfarçados, então temo que isso coloque vidas em risco”, disse Baker. “Todas as operações do crime organizado no país provavelmente terão procurado seus próprios nomes antes que a polícia saiba o que está nos arquivos, então o dano pode ser feito rapidamente. Também ficaria surpreso se os arquivos produzissem muito escândalo ou evidência de má conduta policial. Esse não é o tipo de trabalho que os centros de fusão fazem.”
FONTE: KREBS ON SECURITY