Некоммерческое СМИ ProPublica опубликовало расследование, в котором говорится, что Microsoft использует инженеров из Китая для поддержки компьютерных систем Министерства обороны США с минимальным надзором со стороны местных сотрудников.
Это делается через систему «digital escorts» — граждане США с допуском к секретной информации контролируют действия иностранных специалистов и вводят за них все команды в сети госструктур.
Проблема в том, что многие участники «digital escorts» не обладают достаточной технической квалификацией — они часто хуже разбираются в IT, чем китайские инженеры, которых им поручено контролировать. Как правило, это бывшие военные с минимальным опытом в программировании, которые, к тому же, получают небольшую зарплату.
Отмечается, что при таких работников ключевым критерием был не профессионализм, а наличие допуска к гостайне. При этом за месяц команда из примерно 50 «digital escorts» обрабатывает сотни обращений от инженеров из Китая. По мнению ряда специалистов, реальный способ предотвратить утечку данных через такую схему минимален: если инженер убедит работника в США выполнить вредоносную команду, а тот даже не поймёт сути происходящего.
Как сами сотрудники Microsoft, так и подрядчики, неоднократно предупреждали компанию о рисках. По их мнению, система позволяет потенциальным злоумышленникам получить доступ к самым чувствительным данным США.
Ведущие специалисты по нацбезопасности и кибербезопасности также расценивают практику «digital escorts» как окно для серьёзных уязвимостей. Они отмечают, что Китай давно рассматривается как главный источник киберугроз для инфраструктуры и правительства США.
При этом Microsoft утверждает, что все её действия соответствуют требованиям правительства США и что только граждане США с секретным допуском имеют непосредственный доступ к госданным. В компании действует внутренняя процедура (Lockbox) для проверки действий сотрудников, однако детали этой системы не раскрываются.
Ни Министерство обороны, ни другие госструктуры не отреагировали на расследование. Как отмечают его авторы, ведомства часто даже не были осведомлены о существовании такой практики.
Лишь в конце 2024 года одно из разведывательных ведомств Китая взломало системы Министерства финансов США, получив доступ к рабочим станциям госслужащих и несекретным документам. Тогда чиновники отчитались, что это была полностью шпионская операция, а не часть усилий КНР по внедрению вредоносного кода в коммунальные сети и системы водоснабжения.
Источник: habr.com