Legisladores de EE. UU. se enfrentan a ataques cibernéticos y daños físicos potenciales después de la violación del enlace de salud de DC

Cientos de legisladores de EE. UU. y sus familias corren el riesgo de robo de identidad, estafas financieras e incluso amenazas físicas después de que un conocido actor de amenazas de robo de información llamado IntelBroker puso a la venta la información de identificación personal (PII) de los miembros de la Cámara de Representantes en el " Incumplido” foro penal.

La información, que se confirmó que se obtuvo a través de una violación en el mercado de seguros de salud DC Health Link, incluye nombres, números de seguro social, fechas de nacimiento, direcciones y otra información de identificación confidencial. Los datos sobre los miembros de la Cámara eran parte de un conjunto de datos más grande de PII perteneciente a más de 170,000 personas inscritas en DC Health Link que el actor de amenazas puso a la venta esta semana.

DC Health Link: una brecha significativa

En un correo electrónico del 8 de marzo a los miembros de la Cámara y su personal, la directora administrativa de la Cámara de Representantes de EE. UU., Catherine Szpindor, dijo que el ataque a DC Health Link no parece haber tenido como objetivo específico a los legisladores estadounidenses. Pero la brecha fue significativa y potencialmente PII expuesta en miles de personas inscritas en DC Health Link.

“El FBI también nos informó que pudieron comprar esta PII, junto con otra información de afiliados, en la Dark Web”, dijo el presidente de la Cámara Kevin McCarthy (R-Calif.) y el líder de la minoría de la Cámara Hakeem Jeffries (DN.Y. ) dijo en una articulación carta al director ejecutivo de DC Health Link el 8 de marzo. La carta buscaba detalles del intercambio de salud sobre la violación, incluidos detalles sobre el alcance total del ataque y los planes de DC Health Link para notificar a las personas afectadas y ofrecerles servicios de monitoreo de crédito.

A pesar de la carta, los detalles de la intrusión en DC Health Link aún no están disponibles. La organización, gobernada por una junta ejecutiva designada por el alcalde de DC, no respondió de inmediato a una solicitud de comentarios sobre el incidente.

Un informe en BleepingComputer esta semana identificó por primera vez al actor de la amenaza como IntelBroker, apropiadamente llamado, después de que los ciberdelincuentes pusieran a la venta los datos robados el 6 de marzo. Según el anuncio del foro clandestino, el conjunto de datos está disponible por "una cantidad no revelada en criptomoneda Monero". Se solicita a las partes interesadas que se comuniquen con los vendedores a través de un intermediario para obtener más detalles.

Resumen de infracciones anteriores de IntelBroker

Este no es el primer gran atraco para el grupo: un actor de amenazas, usando el mismo apodo en febrero, se atribuyó el mérito de una violación en Weee!, un servicio de entrega de comida asiática e hispana. Posteriormente, IntelBroker filtró alrededor de 1.1 millones de direcciones de correo electrónico únicas e información detallada sobre más de 11.3 millones de pedidos realizados a través del servicio. 

El proveedor de seguridad BitDefender, que cubrió el incidente en su blog en ese momento, publicó un anuncio que IntelBroker colocó en BreachedForums que mostraba al atacante alardeando de obtener nombres completos, direcciones de correo electrónico, números de teléfono e incluso notas de pedidos que incluían códigos de acceso a apartamentos y edificios.

Mientras tanto, Chris Strand, director de riesgo y cumplimiento de Cybersixgill, dice que su empresa ha estado rastreando a IntelBroker desde 2022 y está a punto de publicar un informe sobre el actor. “IntelBroker es un miembro violado muy activo con un puntaje de reputación de 9/10, que afirmó en el pasado ser el desarrollador del ransomware Endurance”, dice Strand.

El uso de Breached por parte de IntelBroker para vender la PII del intercambio de salud, en lugar de un sitio de fuga dedicado o un canal de Telegram, es consistente con las tácticas anteriores del actor de amenazas. Sugiere una falta de recursos o inexperiencia por parte del individuo, dice Strand. 

“Además de la presencia de IntelBroker en Breached, el actor de amenazas ha mantenido un repositorio público de GitHub titulado Endurance-Wiper”, le dice a Dark Reading.

En noviembre, IntelBroker afirmó que usó Endurance para robar datos de agencias gubernamentales estadounidenses de alto nivel, señala Strand. El actor de amenazas ha realizado en total unas 13 afirmaciones sobre la violación de las principales agencias gubernamentales de EE. UU., que probablemente atraigan a los clientes a un programa de ransomware como servicio (RaaS). Otras organizaciones en las que IntelBroker afirma haber entrado incluyen Volvo, el fabricante de calzado de culto Dr. Martens y una subsidiaria indonesia de The Body Shop.

“Nuestros analistas de inteligencia han estado rastreando a IntelBroker desde 2022, y hemos estado recopilando información atribuida a ese actor de amenazas desde entonces, así como amenazas asociadas que se han relacionado o atribuido a IntelBroker”, dice Strand.

¿Es la PII de los miembros de la Cámara una amenaza para la seguridad nacional?

Justin Fier, vicepresidente senior de operaciones del equipo rojo en Darktrace, dice que la razón del actor de amenazas para poner los datos a la venta parece tener una motivación puramente financiera en lugar de política. Y dado el alto perfil de las víctimas, IntelBroker puede encontrar que la atención que está atrayendo la violación aumentará el valor de los datos robados (o generará más controversia de la que le gustaría).

Los compradores podrían ser otra historia. Dada la disponibilidad de direcciones físicas e información de contacto electrónica, los tipos de posibles ataques de seguimiento son innumerables, desde ingeniería social para robo de identidad o espionaje, hasta objetivos físicos, lo que significa que las partes interesadas pueden abarcar toda la gama en términos de motivación.

“La cantidad te dice mucho sobre en quién pueden estar pensando en términos de compradores”, dice. Si todo lo que el actor de amenazas termina pidiendo es un par de miles de dólares, es probable que sea una empresa criminal más pequeña. Pero “empiezas a hablar de millones, claramente están atendiendo a compradores de estados-nación”, dice.

Fier evalúa que los datos que el actor de amenazas robó de los miembros de la Cámara de Representantes de EE. UU. representan potencialmente un problema de seguridad nacional. “No deberíamos pensar solo en los estados-nación externos que podrían querer comprar esto”, dice Fier. “¿Quién puede decir que otros partidos políticos y/o activistas no podrían convertirlo en un arma?”

• Distribución de relaciones públicas y contenido potenciado por SEO. Consiga amplificado hoy.
• Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. Accede Aquí.
• Fuente: https://www.darkreading.com/application-security/us-lawmakers-cyberattacks-physical-harm-dc-health-link-breach