IBM и AT&T обвиняют в сокрытии успешных атак хакеров на их сети ради миллиардных госконтрактов

Бывший вице-президент IBM по анализу угроз Уильям Барлоу подал иск, в котором заявил, что корпорация вместе с AT&T годами скрывала факты проникновения иностранных хакеров в собственные сети. По версии заявителя, компании продолжали уверять федеральных заказчиков в надёжности своей защиты, чтобы не лишиться многомиллиардных контрактов с американским правительством. Документ оставался закрытым с 2020 года и стал публичным только после отказа Минюста США присоединиться к процессу.

Иск подан в федеральный суд Нью-Йорка в рамках американского законодательства о ложных заявлениях. До недавнего времени подробности дела практически не обсуждались, а само разбирательство шло в закрытом режиме шесть лет. Публикация материалов выглядит редким событием для IT-отрасли, поскольку затрагивает работу двух крупнейших подрядчиков федерального уровня и поднимает вопрос ответственности корпораций за раскрытие сведений о киберинцидентах.

Объектом атак, согласно иску, становилась крупная облачная платформа IBM, которой пользуются различные государственные структуры США, в том числе военные ведомства. AT&T при этом отвечает за базовую сетевую инфраструктуру проекта, а её собственные системы являются частью общего контура. По словам Уильяма Барлоу, иностранные злоумышленники неоднократно проникали в эту сеть, а компании в ряде случаев не могли определить:

• источник вторжения;
• перечень затронутых данных;
• объём возможной утечки;
• факт изменения информации внутри систем;
• принадлежность атакующих к конкретной группировке.

Стоит обратить внимание на то, что подрядчики, работающие с государственными структурами США, обязаны подтверждать отсутствие существенных нерешённых проблем в защите своей инфраструктуры перед заключением новых соглашений.

Часть предполагаемых вторжений, по материалам дела, связывается с хакерами, которых американская сторона относит к группировкам, действующим в интересах китайского государства. Каких-либо технических деталей об этих эпизодах в опубликованных документах пока нет, а обвинения ещё предстоит рассмотреть федеральному суду.

Уильям Барлоу работал в IBM в разные периоды начиная с 2002 года, а с 2017 по 2019 год занимал пост вице-президента по анализу угроз. После ухода он продолжил карьеру в отрасли, выступает на профессиональных конференциях с докладами о современных угрозах в цифровой среде. В 2018 году The New York Times писала о мобильном центре подготовки специалистов IBM в области информационной безопасности, построенном на базе специального полуприцепа, где Уильям Барлоу участвовал в образовательных программах корпорации.

Заявитель утверждает, что лично сталкивался с многочисленными случаями проникновения в основную сеть IBM и подвергался давлению со стороны руководства. По его словам, топ-менеджеры требовали смягчать формулировки во внутренних аналитических документах и не раскрывать часть обстоятельств произошедшего. Помимо этого, бывшему руководителю якобы известны конкретные эпизоды, когда представители высшего менеджмента предпринимали действия:

• по сокрытию данных об атаках от американских регуляторов;
• по неполному информированию государственных заказчиков;
• по корректировке внутренних отчётов в сторону смягчения оценок;
• по отказу от раскрытия инцидентов перед подписанием новых контрактов.

Представитель IBM Адам Пратт после публикации материалов заявил, что иск был подан ещё шесть лет назад, а Министерство юстиции США не стало вмешиваться в процесс. По его словам, корпорация уверена, что её действия полностью соответствовали требованиям законодательства. Со стороны AT&T официальной позиции на момент публикации представлено не было, журналистам в компании не ответили.

Интересно, что отказ правительства от участия в процессе сам по себе ещё не означает отсутствия оснований для судебного разбирательства — подобные решения, как отмечают юристы, нередко принимаются очень долго.

Интересы Уильяма Барлоу представляет адвокат Джейсон Т. Браун. Он отказался обсуждать детали увольнения своего клиента и не стал комментировать, проводило ли Министерство юстиции отдельную проверку изложенных обвинений. Юрист добавил, что речь может идти о федеральных контрактах стоимостью в миллиарды долларов, а защита намерена активно отстаивать свою позицию в суде. Поставщики услуг для государственных структур, по его словам, должны соответствовать тем требованиям безопасности, которые сами предлагают заказчикам.

Жёстко звучит утверждение Уильяма Барлоу о том, что масштаб возможных компрометаций и особенности построения сетевой архитектуры были настолько значительными, что сами корпорации могли не располагать полной картиной произошедшего. В материалах дела фигурируют следующие претензии к работе IBM и AT&T:

• невозможность точно установить, какие данные оказались затронуты;
• отсутствие чёткой атрибуции атак;
• размытые границы между сегментами сети двух подрядчиков;
• сложности с определением географии утечек;
• риск изменения информации внутри государственных систем.

Ранее мы писали о том, что вирус FlutterShell обманул Apple и хозяйничает на тысячах Mac по всему миру. Эксперты Unit 42 раскрыли кампанию Operation FlutterBridge, где хакеры через рекламу Google и ролики YouTube распространяли поддельные программы для macOS с новым бэкдором FlutterShell. Заражённые установщики имели действующие сертификаты Apple и проходили нотаризацию, поэтому система не выдавала привычных предупреждений о подозрительном источнике.

Эксперты редакции CISOCLUB заявляют, что нынешнее разбирательство способно стать поворотной точкой для всего рынка корпоративных подрядчиков, обслуживающих государственные структуры. На наш взгляд, дело Уильяма Барлоу обнажает системную проблему — крупные технологические корпорации десятилетиями выстраивали отношения с регуляторами по принципу минимального раскрытия, и подобный подход рано или поздно должен был привести к публичному скандалу.

Мы считаем, что независимо от исхода судебного процесса, факт публикации материалов уже изменит подход федеральных заказчиков к проверке поставщиков облачных и сетевых сервисов.

Редакция убеждена, что прозрачность реагирования на инциденты должна стать обязательным элементом любых контрактов с государственными ведомствами, а не предметом внутренних договорённостей. Опыт показывает, что замалчивание атак обходится экономике значительно дороже, чем своевременное раскрытие. Мы ожидаем, что после этого дела регуляторы США пересмотрят подход к аудиту крупнейших IT-подрядчиков.