Były wykonawca rządowy skazany za zniszczenie dziesiątek baz danych. Czego uczy ta sprawa?

W lutym 2025 roku, w ciągu zaledwie kilku godzin od utraty pracy, dwóch byłych wykonawców rządowych doprowadziło do zniszczenia około 96 baz danych należących do amerykańskich agencji federalnych. Sprawa, która zakończyła się niedawno wyrokiem skazującym dla Sohaiba Akhtera, unaocznia fundamentalne ryzyko, jakie dla każdej organizacji – nie tylko rządowej – stanowią byli pracownicy z dostępem do krytycznych systemów. To nie historia o zaawansowanych hakerach, ale o zaniedbaniach w procesie odbierania uprawnień i braku odpowiednich zabezpieczeń.

Kim byli sprawcy i jak doszło do ataku?

Jak wynika z informacji opublikowanych przez Departament Sprawiedliwości USA, Sohaib Akhter i jego brat bliźniak Muneeb Akhter byli wcześniej skazani za nieautoryzowany dostęp do systemów Departamentu Stanu i kradzież danych osobowych. Po odbyciu wyroku obaj zostali ponownie zatrudnieni jako wykonawcy przez firmę współpracującą z ponad 45 agencjami federalnymi. Gdy pracodawca odkrył ich przeszłość kryminalną, rozwiązał umowę podczas zdalnego spotkania 18 lutego 2025 roku. Jak podaje BleepingComputer, natychmiast po zwolnieniu bracia rozpoczęli niszczenie danych.

W ciągu kilku godzin od utraty dostępu do systemów zdalnie zablokowali możliwość modyfikacji baz danych, a następnie je usunęli. Wśród zniszczonych zasobów znalazły się wrażliwe dokumenty śledcze wielu agencji oraz rejestry wniosków o udostępnienie informacji publicznej (FOIA). Co więcej, po usunięciu bazy danych Departamentu Bezpieczeństwa Krajowego sprawcy mieli zapytać asystenta AI o to, jak wyczyścić logi systemowe, aby zatrzeć ślady swojej działalności.

Dlaczego ta sprawa jest ważna dla firm w Polsce?

Opisany incydent nie dotyczy wyłącznie amerykańskich agencji. Mechanizm ataku – wykorzystanie uprawnień przez byłego pracownika – jest uniwersalny. Każda organizacja, która zatrudnia osoby z dostępem do wrażliwych danych, powinna wyciągnąć z tej historii konkretne wnioski. Po pierwsze, proces odbierania dostępu musi być natychmiastowy i automatyczny. W przypadku braci Akhterów kluczowe okazały się minuty po zakończeniu spotkania – to one wystarczyły, by wyrządzić ogromne szkody.

Po drugie, sprawa pokazuje, że weryfikacja pracowników nie może być jednorazowa. Firma, która zatrudniła braci, nie sprawdziła ich przeszłości kryminalnej przed ponownym przyjęciem do pracy. Dopiero późniejsze odkrycie wyroków skazujących doprowadziło do zwolnienia, ale było już za późno, by zapobiec atakowi. W praktyce oznacza to, że polityka bezpieczeństwa powinna obejmować regularne przeglądy uprawnień oraz procedury reagowania na incydenty związane z odejściem pracownika.

Jakie kary grożą za niszczenie danych?

Sohaib Akhter został uznany winnym udziału w nieautoryzowanym dostępie do systemów, kradzieży danych uwierzytelniających i niszczeniu danych rządowych. Jak zaznaczyła Jennifer L. Fain, inspektor generalna FDIC-OIG, „celowe usunięcie baz danych zawierających wrażliwe informacje rządowe i późniejsze próby ukrycia tej przestępczej działalności wykazały rażące lekceważenie bezpieczeństwa i integralności federalnych systemów informatycznych”. Grozi mu do 21 lat więzienia. Jego brat Muneeb, który również został oskarżony, może spędzić za kratami nawet 45 lat.

Wysokość kar pokazuje, jak poważnie organy ścigania traktują tego typu przestępstwa. W Polsce podobne czyny mogą być kwalifikowane jako przestępstwo komputerowe lub szpiegostwo gospodarcze, zagrożone karą pozbawienia wolności nawet do 10 lat. Dla firm oznacza to nie tylko ryzyko utraty danych, ale również odpowiedzialność karną osób zarządzających, jeśli zaniedbają obowiązki w zakresie ochrony informacji.

Jak się chronić przed wewnętrznym zagrożeniem?

Sprawa braci Akhterów to przede wszystkim lekcja dla działów IT i kadr. Podstawą jest wdrożenie procedury natychmiastowego odbierania dostępu do wszystkich systemów w momencie rozwiązania umowy o pracę. Powinno to obejmować nie tylko konta użytkowników, ale także klucze API, certyfikaty i sesje OAuth. Warto również rozważyć wprowadzenie zasady najmniejszych uprawnień (least privilege) – pracownik powinien mieć dostęp tylko do tych zasobów, które są mu niezbędne do wykonywania obowiązków.

Kolejnym krokiem jest monitorowanie aktywności w systemach, szczególnie w okresie poprzedzającym odejście pracownika. Narzędzia do wykrywania anomalii mogą pomóc w identyfikacji nietypowych zachowań, takich jak masowe pobieranie danych czy próby usunięcia logów. W przypadku braci Akhterów zniszczenie baz danych nastąpiło w ciągu kilku godzin od zwolnienia – szybkie wykrycie i zablokowanie dostępu mogło ograniczyć skalę szkód.

Wreszcie, nie można zapominać o szkoleniach i polityce bezpieczeństwa. Pracownicy powinni wiedzieć, że niszczenie danych firmowych jest przestępstwem, a każda próba ukrycia takiej działalności może zostać wykryta. Transparentność i jasne komunikowanie konsekwencji to często niedoceniane, ale skuteczne narzędzia prewencyjne.

Sprawa byłych wykonawców rządowych to nie tylko historia o zemście i zniszczeniu, ale przede wszystkim ostrzeżenie dla firm, które bagatelizują ryzyko wewnętrzne. W dobie rosnącej liczby incydentów związanych z dostępem do danych, każda organizacja powinna traktować proces odbierania uprawnień jako jeden z priorytetów bezpieczeństwa. W przeciwnym razie może podzielić los amerykańskich agencji, które w ciągu kilku godzin straciły dziesiątki baz danych.