Një ish-drejtues i sigurisë kibernetike, i kthyer në sinjalizues akuzon IBM se ka fshehur disa shkelje të sigurisë së të dhënave

Një ish-ekzekutiv i sigurisë kibernetike i IBM akuzoi kompaninë se u sulmua tre herë nga qeveritë e huaja gjatë dekadës së kaluar dhe më pas i mbuloi shkeljet.

Në një padi të zbuluar këtë javë, por të ngritur në vitin 2020, William Barlow, i cili ishte nënkryetar i inteligjencës së kërcënimeve të IBM deri në gusht 2019, tha se IBM arriti në përfundimin se hakerat kinezë kishin shkelur rrjetin e saj kryesor midis viteve 2013 dhe 2016, por se kompania më pas i kishte mbuluar shkeljet dhe nuk i kishte zbuluar kurrë. Barlow tha gjithashtu se të paktën dy degë të IBM u shkelën gjithashtu dhe se IBM i kishte mbuluar edhe ato shkelje.

Barlow pretendoi në ankesën e tij se rrjeti kryesor i IBM-së “hakohej rregullisht nga aktorë të huaj shtetërorë dhe të tjerë”, duke shtuar se të dhënat vidheshin shpesh dhe agjencitë qeveritare “nuk njoftoheshin kurrë”.

Ndërsa shkeljet e dyshuara datojnë më shumë se një dekadë më parë, lajmet tregojnë se sulmet kibernetike, madje edhe ato që prekin kompani të mëdha publike të teknologjisë si IBM, ndonjëherë nuk zbulohen kurrë, as për publikun dhe as për autoritetet përkatëse qeveritare. IBM është një shitës i madh i sigurisë kibernetike për qeverinë federale të SHBA-së, gjë që e bën fshehjen e dyshuar veçanërisht të rëndësishme. Në vitet e fundit, janë miratuar disa ligje për njoftimin e shkeljeve të të dhënave për të luftuar këtë problem.

Bloomberg raportoi për herë të parë për padinë.

Zëdhënësi i IBM, Miki Carver, nuk pranoi t’u përgjigjej pyetjeve specifike në lidhje me padinë dhe akuzat themelore. Në vend të kësaj, Carver i tha TechCrunch: “Kjo ankesë u paraqit gjashtë vjet më parë dhe Departamenti i Drejtësisë i SHBA-së refuzoi të ndërhynte. IBM është i bindur se veprimet tona ndoqën shkronjën e ligjit.”

Në veçanti, Barlow tha se IBM ishte midis disa viktimave të një fushate hakerimi të kryer nga APT 10, një grup i lidhur me qeverinë kineze që, sipas drejtorit të atëhershëm të FBI-së, Christopher Wray, kishte synuar një “ Kush është Kush ” të ekonomisë globale kur anëtarët e tij u paditën në vitin 2018. Hakerët hynë me forcë si në rrjetin e kompanisë ashtu edhe në të dhënat që ajo mbante atje në partneritet me AT&T.

Barlow pretendoi se në mars të vitit 2017, zyrtarë të inteligjencës nga Australia, Kanadaja, Zelanda e Re, Shtetet e Bashkuara dhe Mbretëria e Bashkuar – e ashtuquajtura aleanca Five Eyes – e paralajmëruan IBM-in për shkeljen, gjë që shkaktoi një hetim të brendshëm.

Sipas padisë, hetimi arriti në përfundimin se APT 10 potencialisht ka depërtuar në rrjetin e IBM më shumë se 56,000 herë midis viteve 2013 dhe 2016. Çështja kryesore është se kompania tha se nuk mund të hetonte më tej sepse nuk kishte mbajtur regjistra se kush kishte hyrë në rrjetin e saj dhe kur – një praktikë themelore sigurie.

Më pas, dyshohet se IBM nuk kishte njoftuar asnjë autoritet ose qeverinë amerikane, e cila është një nga klientët e saj kryesorë.

“Meqenëse infrastruktura e Core Networks e IBM dhe AT&T është arkaike, hakerat kanë qenë në gjendje të fitojnë akses në sistem në shumë raste dhe mund të lëvizin pothuajse kudo pa u zbuluar”, thuhej në ankesë, e cila shpjegonte se hetimi i brendshëm i IBM arriti në përfundimin se katër servera u kompromentuan në fushatën e hakerimit APT 10.

“Sulmuesit kanë kompromentuar dhe/ose kanë aksesuar gati 400 llogari të kompromentuara dhe pothuajse 200 sisteme dhe servera në total në çdo njësi biznesi të IBM-it, tetëmbëdhjetë vende dhe produkte të shumta të IBM-it”, thuhet në një raport të brendshëm të IBM-it në lidhje me hetimin e shkeljes, sipas ankesës.

Jason Brown, një avokat që përfaqëson Barlow, i tha TechCrunch se firma e tij “po pret me padurim ta ngrejë çështjen në mënyrë agresive në gjyq”.

Nuk mund t’i shisni siguri kibernetike qeverisë federale ndërkohë që dyshohet se keni këto probleme sigurie brenda kompanisë suaj, tha Brown.

Sipas Barlow, shkelje të tjera për të cilat ai ishte në dijeni prekën Trusteer, një startup sigurie kibernetike i blerë nga IBM në vitin 2013, i cili ai thotë se u shkel në vitin 2018; dhe Truven, një startup të dhënash shëndetësore që IBM e bleu në vitin 2016, i cili ai thotë se u shkel disa herë pas blerjes.

Në të dyja rastet, Barlow akuzoi IBM-in se nuk i hetoi dhe nuk i zbuloi siç duhet këto shkelje.