Se ha sabido que piratas informáticos respaldados por el Estado chino han comprometido los ordenadores del Tesoro de EE. UU. y han accedido a información no clasificada, después de atacar a un proveedor de ciberseguridad externo.
El Tesoro confirmó la noticia en una carta al Comité del Senado sobre Banca, Vivienda y Asuntos Urbanos, fechada el 30 de diciembre y ampliamente compartida en X (anteriormente Twitter).
“El 8 de diciembre de 2024, un proveedor de servicios de software externo, BeyondTrust, notificó al Tesoro que un actor de amenazas había obtenido acceso a una clave utilizada por el proveedor para proteger un servicio basado en la nube utilizado para proporcionar de forma remota soporte técnico a los usuarios finales de las Oficinas Departamentales del Tesoro (DO)”, reveló la carta.
“Con acceso a la clave robada, el actor de la amenaza pudo anular la seguridad del servicio, acceder de forma remota a ciertas estaciones de trabajo de usuarios del Departamento del Tesoro y acceder a ciertos documentos no clasificados mantenidos por esos usuarios”.
El Tesoro dijo que inmediatamente solicitó la ayuda de la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA), junto con el FBI, los servicios de inteligencia e investigadores externos, y atribuyó el ataque a “un actor de Amenaza Persistente Avanzada (APT) patrocinado por el estado de China”.
El servicio BeyondTrust comprometido fue desconectado y el Tesoro afirmó que no hay evidencia que sugiera que los actores de la amenaza hayan continuado teniendo acceso a sus redes o datos confidenciales.
Sin embargo, el investigador principal de Citizen Lab, John Scott-Railton, expresó su preocupación por el alcance del ataque.
“La analogía es la siguiente: un hacker entra en la oficina de tu fontanero y roba las llaves maestras de los edificios a los que presta servicio”, explicó en X. “Teniendo en cuenta la gran lista de clientes de BeyondTrust, uno se pregunta si otros clientes fueron el objetivo”.
Ian Birdsey, socio de la firma de abogados internacional Clyde & Co, argumentó que el incidente pone de relieve los desafíos de los riesgos de la cadena de suministro y las debilidades del software de acceso remoto.
“Sin embargo, ningún sistema, proveedor o cadena de suministro es inmune a los riesgos y, una vez que se produce una vulneración, se pueden eludir incluso las medidas de seguridad informática más sólidas”, añadió.
“Este incidente pone de relieve la importancia de centrarse en la supervisión y la detección de actividades no autorizadas para mitigar el impacto de un ciberevento, reconociendo que las medidas preventivas sólo pueden llevar a las organizaciones hasta cierto punto. Comprender que lo que ocurre es cuándo, no si, ocurre un incidente de seguridad es un cambio de mentalidad fundamental que todas las organizaciones deben hacer”.
La noticia llega apenas unas semanas después de que se supiera que unos piratas informáticos chinos habían vulnerado varias empresas de telecomunicaciones estadounidenses, lo que les permitió acceder a las llamadas telefónicas y los mensajes de texto de los legisladores.