Για συγκάλυψη των παραβιάσεων που υπέστη την προηγούμενη δεκαετία από ξένες κυβερνήσεις, κατηγόρησε την IBM ενα πρώην στέλεχος της εταιρείας στον τομέα της κυβερνοασφάλειας.
Σε μια αγωγή που αποκαλύφθηκε αυτή την εβδομάδα -και την οποία ανέφερε πρώτα το Bloomberg – , αλλά κατατέθηκε το 2020, ο Γουίλιαμ Μπάρλοου, ο οποίος ήταν αντιπρόεδρος της IBM στον τομέα της πληροφορίας για απειλές μέχρι τον Αύγουστο του 2019, δήλωσε ότι η IBM κατέληξε στο συμπέρασμα ότι Κινέζοι χάκερ παραβίασαν το κεντρικό της δίκτυο μεταξύ 2013 και 2016, αλλά ότι η εταιρεία στη συνέχεια κάλυψε τις παραβιάσεις και δεν τις αποκάλυψε ποτέ.
Ο Μπάρλοου ανέφερε επίσης ότι τουλάχιστον δύο θυγατρικές της IBM υπέστησαν επίσης παραβιάσεις και ότι η IBM κάλυψε και αυτές τις παραβιάσεις, αναφέρει το TechCrunch.
«Συγκάλυψη»
Ο Μπάρλοου ισχυρίστηκε στην καταγγελία του ότι το κεντρικό δίκτυο της IBM «υποβαλλόταν συστηματικά σε επιθέσεις από ξένους κρατικούς φορείς και άλλους», προσθέτοντας ότι τα δεδομένα κλέβονταν συχνά και ότι οι κυβερνητικές υπηρεσίες «δεν ενημερώνονταν ποτέ».
Αν και οι φερόμενες παραβιάσεις χρονολογούνται πριν από περισσότερο από μια δεκαετία, η είδηση δείχνει ότι οι κυβερνοεπιθέσεις, ακόμη και εκείνες που επηρεάζουν μεγάλες δημόσιες εταιρείες τεχνολογίας όπως η IBM, μερικές φορές δεν αποκαλύπτονται ποτέ, ούτε στο κοινό ούτε στις αρμόδιες κυβερνητικές αρχές.
Η IBM είναι ένας σημαντικός προμηθευτής υπηρεσιών κυβερνοασφάλειας για την ομοσπονδιακή κυβέρνηση των ΗΠΑ, γεγονός που καθιστά την φερόμενη απόκρυψη ιδιαίτερα σημαντική. Τα τελευταία χρόνια, έχουν ψηφιστεί διάφοροι νόμοι για την κοινοποίηση παραβιάσεων δεδομένων προκειμένου να αντιμετωπιστεί αυτό το πρόβλημα.
Η εκπρόσωπος της IBM, Μίκι Κάρβερ, αρνήθηκε να απαντήσει σε συγκεκριμένες ερωτήσεις σχετικά με την αγωγή και τις σχετικές κατηγορίες. Αντ’ αυτού, η Κάρβερ δήλωσε στο TechCrunch: «Η αγωγή αυτή κατατέθηκε πριν από έξι χρόνια και το Υπουργείο Δικαιοσύνης των ΗΠΑ αρνήθηκε να παρέμβει. Η IBM είναι πεπεισμένη ότι οι ενέργειές μας ήταν απολύτως σύμφωνες με το γράμμα του νόμου».
Συγκεκριμένα, ο Μπάρλοου ανέφερε ότι η IBM ήταν ένα από τα πολλά θύματα μιας εκστρατείας ηλεκτρονικών επιθέσεων που διεξήγαγε η APT 10, μια ομάδα συνδεδεμένη με την κινεζική κυβέρνηση, η οποία, όπως δήλωσε ο τότε διευθυντής του FBI Κρίστοφερ Ρέι όταν τα μέλη της παραπέμφθηκαν σε δίκη το 2018, είχε στοχεύσει τα «μεγάλα ονόματα» της παγκόσμιας οικονομίας. Οι χάκερ εισέβαλαν τόσο στο δίκτυο της εταιρείας όσο και στα δεδομένα που διατηρούσε εκεί σε συνεργασία με την AT&T.
Η προειδοποίηση των Five Eyes
Ο Μπάρλοου ισχυρίστηκε ότι τον Μάρτιο του 2017, αξιωματούχοι των μυστικών υπηρεσιών από την Αυστραλία, τον Καναδά, τη Νέα Ζηλανδία, τις Ηνωμένες Πολιτείες και το Ηνωμένο Βασίλειο — η λεγόμενη συμμαχία Five Eyes — προειδοποίησαν την IBM για την παραβίαση, γεγονός που οδήγησε σε εσωτερική έρευνα.
Σύμφωνα με την καταγγελία, η έρευνα κατέληξε στο συμπέρασμα ότι η APT 10 ενδεχομένως παραβίασε το δίκτυο της IBM περισσότερες από 56.000 φορές μεταξύ 2013 και 2016. Κρίσιμα, η εταιρεία δήλωσε ότι δεν μπορούσε να διερευνήσει περαιτέρω το θέμα, επειδή δεν είχε τηρήσει αρχεία καταγραφής σχετικά με το ποιος είχε πρόσβαση στο δίκτυό της και πότε — μια βασική πρακτική ασφάλειας.
Στη συνέχεια, η IBM φέρεται να παρέλειψε να ειδοποιήσει τις αρχές ή την κυβέρνηση των ΗΠΑ, έναν από τους κύριους πελάτες της.
«Δεδομένου ότι η υποδομή των βασικών δικτύων της IBM και της AT&T είναι παρωχημένη, οι χάκερ κατάφεραν να αποκτήσουν πρόσβαση στο σύστημα σε πολλές περιπτώσεις και μπορούν να περιφέρονται σχεδόν παντού χωρίς να εντοπίζονται», αναφερόταν στην καταγγελία, η οποία εξηγούσε ότι η εσωτερική έρευνα της IBM κατέληξε στο συμπέρασμα ότι τέσσερις διακομιστές παραβιάστηκαν κατά τη διάρκεια της εκστρατείας χάκινγκ APT 10.
«Οι επιτιθέμενοι έχουν παραβιάσει και/ή έχουν αποκτήσει πρόσβαση σε σχεδόν 400 παραβιασμένους λογαριασμούς και σχεδόν 200 συνολικά συστήματα και διακομιστές σε κάθε επιχειρηματική μονάδα της IBM, σε δεκαοκτώ χώρες και σε πολλαπλά προϊόντα της IBM», ανέφερε μια εσωτερική έκθεση της IBM σχετικά με την έρευνα για την παραβίαση, σύμφωνα με την καταγγελία.
Ο Τζέισον Μπράουν , δικηγόρος που εκπροσωπεί τον Μπάρλοου , δήλωσε στο TechCrunch ότι η εταιρεία του «ανυπομονεί να διεκδικήσει δυναμικά την υπόθεση».
«Δεν μπορείς να πουλάς υπηρεσίες κυβερνοασφάλειας στην ομοσπονδιακή κυβέρνηση ενώ φέρεται να έχεις αυτά τα προβλήματα ασφάλειας μέσα στην ίδια σου την εταιρεία», δήλωσε ο Μπράουν.
Σύμφωνα με τον Μπάρλοου, άλλες παραβιάσεις για τις οποίες είχε γνώση αφορούσαν την Trusteer, μια νεοφυή επιχείρηση στον τομέα της κυβερνοασφάλειας που εξαγοράστηκε από την IBM το 2013, η οποία, όπως ισχυρίζεται, υπέστη παραβίαση το 2018, και την Truven, μια νεοφυή επιχείρηση δεδομένων υγειονομικής περίθαλψης που εξαγόρασε η IBM το 2016, η οποία, όπως ισχυρίζεται, υπέστη παραβιάσεις πολλές φορές μετά την εξαγορά.
Και στις δύο περιπτώσεις, ο Μπράλοου κατηγόρησε την IBM – στην οποία ήταν στέλεχος – ότι δεν διερεύνησε και δεν αποκάλυψε κατάλληλα αυτές τις παραβιάσεις.