7月14日消息，美國眾議院科學、空間和技術委員會近日發表的一份報告指出，美國聯邦存款保險公司(FDIC)的主機系統在2010年至2013年間多次被黑客入侵，這些攻擊被懷疑來自中國大陸。據悉，惡意后門軟件被攻擊者安裝在了10臺服務器和12個工作站上，這其中就包括美國聯邦存款保險公司董事長、參謀長和法律總顧問的辦公電腦。意外的是，在遭受攻擊之后，聯邦存款保險公司并沒有選擇向美國計算機應急小組(US-CERT)或其它政府機構匯報此事。直到總督察前往調查聯邦存款保險公司在2015年10月的另一起嚴重數據泄露時，才發現并將這些攻擊公之于眾。
無疑，聯邦存款保險公司沒有在高危攻擊發生時及時匯報。總督察Jon Rymer也抨擊聯邦存款保險公司的高管們連自己制定的漏洞匯報策略都沒有遵守。調查委員會在對此次瞞報事件進行更深入的調查之后認為，聯邦存款保險公司的首席信息官Russ Pittman為了保全董事長Martin Gruenberg的名聲和獲得任命的機會，在審計員面前對漏洞的嚴重性輕描淡寫，還告訴員工們不要和別人談論這次外國政府入侵的事。
這一系列壞消息還要從FDIC總督察辦公室對“佛羅里達事件”的調查說起。在2015年10月23日，聯邦存款保險公司信息安全與隱私部門的一名員工在公司的防信息泄露系統中發現了一次重大敏感信息泄露記錄。包括來自銀行數據庫的社會保險號碼在內，有1200份文件泄露，涉及到4.4萬名個人和3萬多加銀行。這些敏感文件被FDIC位于佛羅里達州蓋恩斯維爾市的風險管理監督辦公室的一名前員工拷貝到了U盤上。這名員工在從聯邦存款保險公司離職之前就已經拷貝了這些文件。盡管后來成功抓捕了這名員工，被他拷貝走的數據卻遲遲沒有找到，直到2016年3月25日才歸案。這名FDIC前雇員在一份宣誓聲明中表示自己絕沒有散播這些數據。事件至此也就告以段落了。
FDIC董事長Gruenberg在二月份的一封信中告訴美國科學，空間和技術委員會董事長代表Lamar Smith本次泄漏只涉及1萬名個人和實體，而且泄露文件的前員工也很配合調查工作的進行。但是，FDIC總督察辦公室的看法卻和Gruenberg的描述大相徑庭。在用該漏洞對FDIC安全系統進行審計后他們發現，實際受影響的規模要比Gruenberg說的大幾倍。此外，總督察辦公室還發現了另一起瞞報的數據泄露事件。這起事件發生在9月份，紐約部門一名對公司不滿的員工從公司帶走了一個裝有約3萬人社保號碼的U盤。盡管這屬于“重大”泄密事件，FDIC首席信息官Lawrence Gross卻對其加以掩蓋，只在年度聯邦信息安全管理法案(FISMA)報告中略微提及。不僅如此，在二月份還發生了一起類似的數據泄露事件，一名位于德克薩斯的員工“一不小心”帶走了一個裝有4.4萬條記錄的U盤。
在五月份，聯邦存款保險公司才將最近發生的五起重大數據泄露事件報告給委員會。FDIC目前給超過16萬名個人提供信用管理服務，具體哪些個人的信息受到數據泄露的影響還有待國會聽證會的裁決。
委員會的報告將主要責任指向FDIC現任首席信息官Gross。FIDC前信息官Barry West在2015年因不明原因“行政性離職”后，Gross就接過了他的位置。委員會認為Gross給FDIC的信息技術團隊創造了“惡劣的工作環境”，并破壞了團隊為提高公司安全性所做的努力。在Gross的領導下，聯邦存款保險公司將近50%的員工可以在公司里使用U盤等移動存儲設備，而用于保證公司的信息不會泄露的只是一份員工簽署的“宣誓書”。Gross還一直在要求給員工們配備超過3000臺筆記本電腦，理由是“筆記本電腦比臺式電腦更安全”。
京公網安備 11010502049343號