Pelanggaran kontraktor keamanan tidak terdeteksi selama berbulan-bulan

WASHINGTON (AP) — Serangan dunia maya yang serupa dengan serangan peretas sebelumnya dari Tiongkok menembus jaringan komputer di USIS, kontraktor izin keamanan utama pemerintah, selama berbulan-bulan sebelum perusahaan tersebut mencatat, para pejabat dan pihak lain yang mengetahui penyelidikan FBI dan pertanyaan resmi terkait kepada The Associated Tekan. .

Pelanggaran tersebut, yang pertama kali diungkapkan oleh perusahaan dan lembaga pemerintah pada bulan Agustus, membahayakan catatan pribadi setidaknya 25.000 karyawan di Departemen Keamanan Dalam Negeri dan menyebabkan hilangnya kontrak pemerintah sebesar ratusan juta dolar bagi perusahaan.

Selain mencoba mengidentifikasi pelaku dan menilai ruang lingkup materi yang dicuri, penyelidikan pemerintah telah menimbulkan kekhawatiran tentang mengapa alarm deteksi komputer di dalam perusahaan tidak dengan cepat mendeteksi peretas dan apakah lembaga federal yang menyewa perusahaan tersebut, seharusnya melakukan hal tersebut. dipantau. mendekati.

Mantan karyawan perusahaan tersebut, US Investigations Services LLC, juga mengajukan pertanyaan tentang mengapa perusahaan dan pemerintah gagal memastikan bahwa laporan latar belakang usang yang berisi data pribadi tidak secara rutin dihapus dari komputer perusahaan.

Rincian tentang penyelidikan dan penyelidikan terkait dijelaskan oleh pejabat federal dan pihak lain yang mengetahui masalah tersebut. Para pejabat tersebut berbicara hanya dengan syarat anonimitas karena mereka tidak berwenang untuk memberikan komentar secara terbuka mengenai penyelidikan kriminal yang sedang berlangsung, dan yang lainnya karena kekhawatiran mengenai kemungkinan litigasi.

Analisis forensik komputer oleh konsultan yang disewa oleh pengacara perusahaan membela penanganan pelanggaran yang dilakukan USIS, dengan menyatakan bahwa perusahaanlah yang melaporkan insiden tersebut.

Analisis tersebut mengatakan lembaga pemerintah secara berkala meninjau dan menyetujui sistem peringatan dini perusahaan tersebut. Dalam analisis tersebut, yang disampaikan kepada pejabat federal pada bulan September dan diperoleh AP, para konsultan tersebut mengkritik keputusan pemerintah pada bulan Agustus yang menghentikan pemeriksaan latar belakang perusahaan tersebut tanpa batas waktu.

USIS melaporkan serangan dunia maya tersebut kepada otoritas federal pada tanggal 5 Juni, lebih dari dua bulan sebelum mereka secara terbuka mengakuinya. Menurut orang-orang yang mengetahui penyelidikan tersebut, serangan tersebut memiliki karakteristik yang mirip dengan intrusi sebelumnya yang dilakukan oleh peretas Tiongkok. Maret lalu, dilaporkan bahwa peretas yang berasal dari Tiongkok membobol komputer di Kantor Manajemen Personalia, badan federal yang mengawasi sebagian besar pemeriksaan latar belakang pegawai pemerintah dan memiliki kontrak ekstensif dengan USIS.

Dalam sebuah wawancara singkat, Joseph Demarest, asisten direktur divisi siber FBI, menggambarkan peretasan terhadap USIS sebagai tindakan yang “canggih” namun mengatakan “kami juga masih berupaya mengatasinya.” Dia menambahkan: “Ada beberapa kaitan” dengan siapa yang bertanggung jawab, namun menolak berkomentar lebih lanjut.

Bagi banyak orang, dampak peretasan USIS tidak seberapa jika dibandingkan dengan pelanggaran baru-baru ini yang telah mengungkap data kredit dan pribadi jutaan pelanggan di JPMorgan Chase & Co., Target Corp. dan mengungkap Home Depot Inc. Namun hal ini penting karena pemerintah sangat bergantung pada kontraktor untuk memeriksa pekerja Amerika yang melakukan pekerjaan sensitif. Kemungkinan bahwa pemeriksaan latar belakang keamanan nasional rentan terhadap spionase dunia maya dapat melemahkan integritas sistem verifikasi yang digunakan untuk memeriksa lebih dari 5 juta pegawai pemerintah dan pegawai kontrak.

“Informasi yang dikumpulkan dalam proses izin keamanan adalah harta karun bagi para peretas. Jika kontraktor dan lembaga yang mempekerjakan mereka tidak dapat mengamankan material mereka, seluruh sistem menjadi tidak dapat diandalkan,” kata Alan Paller, kepala SANS, sebuah sekolah pelatihan keamanan siber, dan mantan ketua gugus tugas keterampilan siber DHS.

Bulan lalu, para pemimpin Komite Keamanan Dalam Negeri dan Urusan Pemerintahan Senat, Tom Carper, seorang Demokrat, dan Tom Coburn, seorang Republikan, menekan OPM dan DHS atas pengawasan mereka terhadap kontraktor dan kinerja USIS sebelum dan selama serangan dunia maya.

Anggota komite lainnya, Senator. Jon Tester, seorang Demokrat, mengatakan dia prihatin dengan keamanan data pemeriksaan latar belakang, dan mengatakan kepada AP bahwa kontraktor dan lembaga federal harus mempertahankan sistem infrastruktur TI yang modern, mudah beradaptasi, dan aman agar tetap berada di depan pihak-pihak yang akan menyerang kepentingan nasional kita.”

Kantor Manajemen Personalia dan Departemen Keamanan Dalam Negeri menangguhkan semua pekerjaan USIS pada pemeriksaan latar belakang tanpa batas waktu pada bulan Agustus. OPM, yang membayar perusahaan tersebut sebesar $320 juta untuk layanan investigasi dan dukungan pada tahun 2013, kemudian memutuskan untuk tidak memperbarui kontrak pemeriksaan latar belakang dengan perusahaan tersebut. Tindakan tersebut mendorong USIS memberhentikan seluruh pasukannya yang berjumlah 2.500 penyelidik. Seorang juru bicara perusahaan mengeluh bahwa agensi tersebut tidak menjelaskan keputusannya. Perwakilan dari OPM dan DHS menolak berkomentar.

Bulan lalu, kantor akuntansi pemerintah federal memutuskan bahwa Homeland Security harus mengevaluasi kembali pemberian kontrak dukungan senilai $200 juta kepada USIS. GAO menyarankan departemen untuk mempertimbangkan memindahkan kontrak ke FCi Federal, perusahaan pesaing, yang memicu protes dari USIS.

Dalam analisis swasta yang disiapkan untuk USIS oleh Stroz Friedberg, sebuah perusahaan manajemen risiko digital, direktur pelaksana Bret A. Padres mengatakan komputer perusahaan tersebut memiliki “perlindungan perimeter, antivirus, otentikasi pengguna, dan teknologi deteksi intrusi” yang disetujui pemerintah. Namun Padres mengatakan perusahaannya belum mengevaluasi kekuatan langkah keamanan siber USIS sebelum peretasan terjadi.

Pejabat federal yang mengetahui penyelidikan pemerintah mengatakan penilaian tersebut menimbulkan kekhawatiran bahwa sistem komputer USIS dan manajernya tidak siap untuk segera mendeteksi pelanggaran begitu peretas masuk.

Sistem komputer tersebut kemungkinan telah disusupi beberapa bulan sebelum pemerintah diberitahu pada bulan Juni, kata para pejabat. Pakar keamanan siber mengatakan serangan terhadap target perusahaan sering kali terjadi hingga 18 bulan sebelum serangan tersebut ditemukan dan biasanya terdeteksi oleh pemerintah atau pakar keamanan dari luar.

Namun, USIS mencatat bahwa persiapan keamanannya “memungkinkan kami mendeteksi sendiri serangan ilegal ini.”