Кража вызывает вопросы о позиции Конгресса в области кибербезопасности и о том, сделали ли официальные лица США достаточно для защиты своих компьютерных устройств и сетей от прямого физического доступа.
По словам специалистов по безопасности, инцидент подчеркивает серьезные риски кибербезопасности, с которыми теперь сталкиваются все законодатели, сотрудники Конгресса и любые внешние стороны, с которыми они могли общаться в ходе своей деятельности. Меркли входит в сенатский комитет по международным отношениям, который регулярно обсуждает глобальную стратегию США и осуществляет надзор за Государственным департаментом.
Нет никаких свидетельств того, что в ряды бунтовщиков входили опытные хакеры или мотивированные шпионы, и пока нет никаких указаний на утечку данных. Но это опасность, которую полиция Капитолия США и ИТ-администраторы Конгресса должны теперь учитывать, — сказала Кирстен Тодт, управляющий директор Института кибер-готовности.
«Вы абсолютно надеетесь, что прошлой ночью, после грабежей и вторжения, ИТ-подразделение Конгресса приняло меры и провело инвентаризацию всех офисов, — сказал Тодт, — проверяя, какие устройства были учтены, и которые не были, и смогли немедленно очистить эти устройства ».
Представители полиции Капитолия США и палаты представителей и сенатские сержанты не ответили на запросы о комментариях.
Как и в случае удаленного взлома, физический доступ к компьютеру или мобильному устройству может позволить ворам просматривать электронную почту, подключаться к сетям и загружать важные файлы без разрешения. Но угрозы физического доступа часто считаются еще более опасными, потому что они дают хакерам больше возможностей для взлома устройства.
«Когда у вас физическая близость к системе, вы можете сделать гораздо больше», — сказал Кристофер Пейнтер, бывший высокопоставленный сотрудник службы безопасности США.
Например, злоумышленники, получившие контроль над портативным компьютером, могут подключить USB-накопители с вредоносными программами, установить или модифицировать компьютерное оборудование или внести другие тайные изменения в систему, которые они не смогут выполнить на расстоянии.
При правильном уровне доступа даже случайный злоумышленник сможет просматривать электронную почту Конгресса, общие файловые серверы и другие системные ресурсы, сказал Ашкан Солтани, эксперт по безопасности и бывший главный технолог Федеральной торговой комиссии.
Пейнтер добавил, что даже несекретная информация может нанести вред в правильном контексте и в чужих руках.
Несколько нынешних сотрудников Сената сообщили CNN, что, хотя некоторые средства защиты ИТ существуют во всей организации, многие решения о методах обеспечения информационной безопасности остаются на усмотрение отдельных законодательных органов.
Законодатели и их сотрудники используют различные технологии: iPhone, iPad, MacBook, устройства Android, Microsoft По словам одного из сотрудников, планшеты Surface и ноутбуки от HP, Dell и Lenovo, и многие другие.
По словам сотрудников, мобильные устройства и ноутбуки обычно защищены паролем. Один из них сказал, что в его офисе устройства настроены на автоматическую блокировку через 30 минут, а иногда и раньше.
По словам сотрудников, для доступа к определенным приложениям, таким как системы общего хранения файлов и Skype, требуется вход в VPN. А для входа в VPN также требуется многофакторная аутентификация.
Но по их словам, для доступа к электронной почте, загруженной на мобильное устройство, VPN не требуется, и многие сотрудники не хранят свои файлы за несколькими уровнями защиты.
«Многие люди просто хранят папки на своем рабочем столе — не все используют свои серверные хранилища», — сказал CNN один сотрудник.