Le GAO, un organe de recherche du Congrès, a déclaré dans un communiqué que les données concernaient des informations personnelles identifiables sur les employés, y compris certaines personnes qui ont travaillé de 2007 à 2017.
Une lettre de notification de la violation vue par Reuters indique que les données contenaient "des noms, des numéros de sécurité sociale, des adresses et certaines informations bancaires". La lettre indique que la violation a été effectuée par un "acteur de la menace exploitant une vulnérabilité dans une plate-forme fournie en externe", mais ne donne pas de détails.
Le porte-parole du GAO, Chuck Young, a déclaré que son agence avait été informée de la violation le 17 janvier, mais qu'il avait renvoyé les questions sur son impact à CGI. CGI Federal n'a pas répondu immédiatement aux demandes de commentaires.
CGI, qui s'est orientée vers la cybersécurité ces dernières années, a conclu de nombreux contrats avec le gouvernement fédéral. Lors d'un récent témoignage devant le Congrès, un responsable de CGI a déclaré que l'entreprise avait fourni une protection informatique à "100 agences participantes" par l'intermédiaire de l'agence américaine de cybersécurité chargée de protéger les réseaux fédéraux.
Dans le même témoignage, GCI a indiqué qu'elle fournissait des services de cybersécurité aux ministères de l'État, de la Justice, du Commerce et du Travail, ainsi qu'à la Commission fédérale des communications et à l'Agence des États-Unis pour le développement international (United States Agency for International Development).
L'agence de cybersécurité n'a pas immédiatement répondu à une demande de commentaire sur CGI. Le FBI n'a pas répondu immédiatement aux courriels. (Reportage de Raphael Satter. Reportage complémentaire de Christopher Bing et Douglas Gillison à Washington ; Rédaction de Cynthia Osterman et Lisa Shumaker)
