11月13日、FBIのサーバーがハッキングされ、多数のスパムメールが送信される事態が発覚した。
概要
送信されたスパムメールはトータル10万件以上になるとのこと。
正規のサーバーから送信されたことで、受信者側でフィルターは機能しなかったという。
当該メールを受信したセキュリティベンダーや、セキュリティジャーナリストなどが各方面で注意喚起を行った。
被害状況
FBIの説明では、被害のあったサーバーはメールのプッシュ通知専用とのこと。
FBIが保有する機密や個人に関わる情報流出はないとのこと。
攻撃者の意図
「Pompompurin」と名乗る攻撃実行者とみられる人物から、セキュリティジャーナリスト「ブライアン・クレブス」氏に攻撃の意図と手口をコメントしている。
ハッキング目的は、FBIが法執行機関、諜報機関、刑事司法機関などに提供するポータルサービス「Law Enforcement Enterprise Portal（LEEP）」に脆弱性があることを指摘することという。
手口については、LEEPの脆弱性を利用して実行したという。
Pompompurinは、LEEPのアカウント申請の過程において、サイト上に脆弱性を発見。
ワンタイムパスコードの確認メールを受信する際、コード情報がFBIのサイト内で漏洩していたという。
これを悪用し、自動化したスパムメールを大量に送信したとのこと。